Ataques globales explotan zero-day en SharePoint; Microsoft publica parche de emergencia

Microsoft enfrenta una crisis de seguridad generalizada mientras atacantes explotan una vulnerabilidad zero-day crítica en SharePoint Server antes de que la compañía pudiera publicar un parche. La vulnerabilidad, ahora corregida en actualizaciones de emergencia fuera de ciclo, afecta a SharePoint Enterprise Server 2016 y 2019, poniendo en riesgo a miles de agencias gubernamentales y corporaciones.

El fallo (CVE-2025-XXXXX) se encuentra en el componente ToolShell de SharePoint, permitiendo a atacantes autenticados ejecutar código arbitrario de forma remota. Investigadores de seguridad han observado explotación activa desde al menos principios de julio de 2025, con un dramático aumento en los ataques la semana pasada. El Centro de Respuesta de Seguridad de Microsoft describió la situación como una 'amenaza urgente y activa' que requiere acción inmediata.

Según datos de telemetría, aproximadamente 10,000 organizaciones a nivel mundial podrían ser vulnerables, particularmente aquellas que usan SharePoint para gestión documental y colaboración. Los ataques parecen altamente dirigidos, enfocándose en entidades gubernamentales en Norteamérica y Europa, junto con empresas de los sectores financiero y de salud.

Análisis técnicos revelan que la cadena de explotación incluye:

1. Técnicas de bypass de autenticación para acceso inicial
2. Uso malicioso de funciones ToolShell para escalamiento de privilegios
3. Despliegue de web shells para acceso persistente
4. Movimiento lateral a través de sistemas conectados

El parche de emergencia de Microsoft deshabilita completamente la funcionalidad ToolShell vulnerable mientras mantiene compatibilidad con versiones anteriores. La compañía también ha publicado scripts de detección para ayudar a identificar posibles compromisos.

Los equipos de seguridad deben priorizar:

• Aplicación inmediata de las actualizaciones de seguridad de julio 2025 para SharePoint
• Inspección de servidores SharePoint en busca de archivos .aspx sospechosos
• Revisión de logs de autenticación por patrones inusuales
• Segmentación de red para entornos SharePoint

El incidente resalta crecientes preocupaciones sobre plataformas empresariales de colaboración convirtiéndose en blancos principales para actores de amenazas avanzados. Dada la profunda integración de SharePoint en flujos de trabajo organizacionales, compromisos exitosos pueden otorgar a atacantes acceso extenso a documentos sensibles y canales de comunicación.