Ciberseguridad

En uno de los episodios más preocupantes del año en materia de ciberseguridad empresarial, Microsoft ha confirmado la existencia de ciberataques activos que están explotando una vulnerabilidad crítica en versiones locales de SharePoint Server. El fallo, identificado como CVE-2025-53770, permite la ejecución remota de código (RCE) a través de la deserialización de datos no confiables y ha recibido una calificación CVSS de 9.8, lo que la sitúa en el rango de máxima severidad.

La compañía tecnológica ha lanzado un parche de emergencia este domingo tras detectar un incremento de ciberataques dirigidos específicamente a clientes con servidores SharePoint on-premise, es decir, implementaciones locales fuera del entorno de Microsoft 365. Esta vulnerabilidad ha sido clasificada como un ataque de día cero, lo que implica que los atacantes la explotaron antes de que existiera una solución conocida.

Según informes de Eye Security, al menos 54 organizaciones ya han sido comprometidas, entre ellas entidades financieras, universidades y organismos gubernamentales. La explotación activa comenzó alrededor del 18 de julio, lo que indica una ventana crítica de exposición.

¿Qué es CVE-2025-53770?

El fallo radica en cómo SharePoint Server maneja la deserialización de datos en entornos locales. Al no validar adecuadamente la entrada, los atacantes pueden inyectar código malicioso que se ejecuta con privilegios elevados dentro del sistema comprometido. Este tipo de explotación permite acceder al sistema objetivo sin interacción del usuario y, potencialmente, tomar control total del servidor.

Junto a esta vulnerabilidad, se ha revelado otra relacionada: CVE-2025-53771 (CVSS: 6.3), un fallo de suplantación de identidad (spoofing) que permite a un atacante autorizado manipular rutas de archivos para acceder a áreas restringidas del sistema. Ambos fallos están relacionados con otras vulnerabilidades anteriores —CVE-2025-49704 y CVE-2025-49706— y podrían encadenarse en ataques complejos conocidos como ToolShell.

¿Qué versiones están afectadas?

Microsoft ha confirmado que la vulnerabilidad afecta exclusivamente a servidores SharePoint locales, no a SharePoint Online en Microsoft 365. Las versiones vulnerables, que ya tienen parches disponibles o en proceso, incluyen:

• Microsoft SharePoint Server 2019 (16.0.10417.20027)

• Microsoft SharePoint Enterprise Server 2016 (16.0.5508.1000)

• Microsoft SharePoint Server Subscription Edition

• Microsoft SharePoint Server 2019 Core

• Microsoft SharePoint Server 2016 (pendiente de actualización)

¿Qué recomienda Microsoft?

Microsoft y expertos en ciberseguridad coinciden en que el parcheo inmediato no es suficiente. Debido a la profundidad con la que SharePoint se integra con otras plataformas de Microsoft (Teams, Outlook, OneDrive, Office), un servidor comprometido puede actuar como puerta de entrada al resto del ecosistema corporativo.

Para minimizar los riesgos y evitar sustos, se recomienda:

• Aplicar los parches de seguridad más recientes publicados en julio.

• Asegurar que AMSI (Antimalware Scan Interface) esté activado en modo completo y acompañado de una solución antivirus robusta, como Microsoft Defender Antivirus.

• Implementar Microsoft Defender for Endpoint, o soluciones equivalentes.

• Rotar las claves ASP.NET del servidor SharePoint inmediatamente después del parcheo.

• Reiniciar IIS en todos los servidores SharePoint tras la actualización.

• Si no se puede habilitar AMSI, rotar igualmente las claves después de actualizar.

• Desconectar los servidores SharePoint expuestos a Internet si no se puede aplicar el parche de forma inmediata.

CISA y el FBI intervienen

La gravedad del asunto ha llevado a la Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) a incluir CVE-2025-53770 en su catálogo de Vulnerabilidades Conocidas y Explotadas (KEV). Las agencias del poder ejecutivo federal tienen la obligación de aplicar los parches antes del 21 de julio, según indica la normativa estadounidense.

Por su parte, el FBI ha confirmado que está colaborando con CISA, el Departamento de Defensa y socios privados para responder ante esta amenaza y que afecte a las menos organizaciones posibles. Aunque no se han publicado detalles específicos sobre los atacantes, se presume que grupos avanzados de amenazas persistentes (APT) están detrás de la campaña.