Una vulnerabilidad en SharePoint Server que Microsoft clasificó inicialmente como una falla de suplantación con una puntuación CVSS de 6.5 en realidad permite la ejecución remota de código autenticado, según los detalles técnicos completos publicados hoy por el investigador de Viettel Cyber Security Dinh Ho Anh Khoa.
La falla, CVE-2026-65660, afecta a SharePoint Server 2016, 2019 y Subscription Edition. Los parches están disponibles desde las actualizaciones de seguridad del 11 de agosto, y la Base de Datos Nacional de Vulnerabilidades le otorga una puntuación de 8.8.
El aviso de Microsoft describe CVE-2026-65660 como una vulnerabilidad que permite a un atacante autorizado realizar suplantación y no asigna impacto a la integridad o disponibilidad. El registro CVE que Microsoft publica por separado, actualizado el 11 de septiembre, titula la misma falla como una vulnerabilidad de ejecución remota de código y afirma que permite a un atacante autorizado ejecutar código.
Ambos registros asignan CWE-94, una debilidad de inyección de código. Los defensores que evaluaron CVE-2026-65660 basándose en el aviso vieron una falla de suplantación moderada, no una vulnerabilidad de ejecución de código con una puntuación casi máxima.
Khoa es el investigador que demostró la cadena de explotación original ToolShell contra SharePoint en Pwn2Own Berlín en mayo de 2025. Esa cadena fue explotada posteriormente por grupos respaldados por el estado chino y provocó parches de emergencia de Microsoft.
El investigador ha divulgado desde entonces varias otras fallas de SharePoint, incluida CVE-2026-55040, una omisión de autenticación que los atacantes explotaron poco después de que sus detalles se hicieran públicos en agosto.
La última vulnerabilidad CVE-2026-65660 se encuentra en la forma en que SharePoint verifica si los controles del lado del servidor están en la lista SafeControls, un filtro que evita que se carguen clases peligrosas. Cuando el componente ToolPane procesa el marcado de una parte web, reconstruye las directivas Register escribiendo los valores de los atributos entre comillas dobles sin escapar las comillas internas.
Un atacante puede inyectar directivas adicionales a través de las comillas no escapadas, registrando clases .NET arbitrarias después de que se ejecuta la verificación de tipo pero antes de que se cargue el control.
Con la carga arbitraria de clases, el atacante utiliza XamlServices.Parse() para desencadenar la ejecución de código mediante deserialización. El informe incluye un payload de webshell en memoria funcional que evita los fallos de permisos de registro que encuentran otros métodos de deserialización, según Khoa.
El investigador también demostró que la falla se puede encadenar con una omisión de autenticación separada ya parcheada para alcanzar la ejecución remota de código previa a la autenticación en servidores configurados para permitir el acceso anónimo a páginas. Khoa dice que la omisión se corrigió en un parche del 9 de junio, y los servidores que aplicaron la corrección no están expuestos a la ruta de preautenticación.
No se ha reportado explotación de CVE-2026-65660 en el mundo real, y la falla no está en el catálogo de vulnerabilidades explotadas conocidas de CISA. El aviso de Microsoft califica la explotación como poco probable, aunque el marcado completo del exploit ahora es público. Khoa dice que ha utilizado el exploit en trabajos de pruebas de penetración.
El parche del 11 de agosto corrige la falla y desactiva la función vulnerable de forma predeterminada, según el investigador.
Khoa dice que la falla también afecta a SharePoint 2013, aunque el aviso de Microsoft solo enumera 2016, 2019 y Subscription Edition. SharePoint 2013 no tiene soporte desde abril de 2023 y no recibe actualizaciones de seguridad.
Deja una respuesta