¿Qué es la cadena de exploits de SharePoint? (Y por qué importa a las empresas)
El 11 de agosto de 2026, Microsoft publicó una actualización de Patch Tuesday que corrige cerca de 400 vulnerabilidades, incluida la pieza final de una cadena de exploits contra SharePoint que convierte una simple petición web no autenticada en ejecución remota de código sobre un servidor local.
La cadena combina dos fallas distintas. La primera, CVE-2026-55040, es un bypass de autenticación en el proceso de validación de tokens JWT de SharePoint, calificada con 9.1 en la escala CVSS y corregida en julio de 2026. La segunda, una vulnerabilidad de ejecución remota de código, se reservó deliberadamente para el ciclo de agosto, lo que significa que las organizaciones que aplicaron solo la actualización de julio permanecieron expuestas durante aproximadamente cuatro semanas.
¿Qué es una cadena de exploits? Es un ataque que enlaza dos o más vulnerabilidades individualmente limitadas para producir un resultado mucho más grave. Por sí solo, el bypass de julio permitía que un atacante remoto que conociera el Security Identifier de Active Directory o el User Principal Name de un usuario falsificara un token que SharePoint aceptaba como legítimo, suplantando así a cualquier usuario conocido del sitio, incluido un administrador. Por sí sola, la falla de RCE de agosto requería una sesión válida. Encadenadas, producen ejecución remota de código sin autenticación contra despliegues de SharePoint Server 2016, SharePoint Server 2019 y Subscription Edition expuestos a Internet.
La técnica se demostró originalmente como una entrada de competencia en Pwn2Own Berlín, pero SharePoint ha sido un objetivo activo durante todo 2026. CISA ha advertido que múltiples vulnerabilidades de SharePoint están siendo explotadas activamente, y campañas anteriores de este año mostraron cómo una única petición web dirigida contra una granja de SharePoint local puede escalar hasta comprometer todo el dominio.
Para las empresas de América Latina y Estados Unidos esto importa porque SharePoint casi nunca está aislado. Almacena contratos, expedientes de recursos humanos, modelos financieros y documentación de ingeniería, y se autentica contra el mismo Active Directory que gobierna todo lo demás. Un servidor SharePoint comprometido no es un problema de documentos: es un problema de identidad, y por eso la detección y respuesta gestionada pasó de ser deseable a ser un control básico.
