Microsoft confirma explotación de CVE-2026-65660 para ejecutar código en SharePoint

Microsoft actualizó su aviso el 25 de septiembre para indicar que dispone de evidencia fiable de ataques contra CVE-2026-65660. CISA incorporó la vulnerabilidad a su catálogo de fallas explotadas conocidas y fijó el 28 de septiembre como fecha de remediación para las agencias federales estadounidenses.

El cambio es relevante porque la falla fue publicada el 11 de agosto como un problema de suplantación con severidad media. Microsoft revisó después el impacto a ejecución remota de código y elevó la puntuación CVSS a 8,8. Las correcciones estaban disponibles desde agosto, pero la confirmación de explotación exige revisar tanto el parcheo como posibles señales de compromiso.

La vulnerabilidad permite a un usuario con privilegios bajos evadir la validación SafeControls de SharePoint e inyectar contenido que termina en deserialización y ejecución de código dentro del proceso de la aplicación. Por sí sola requiere autenticación y no necesita interacción adicional de la víctima.

Previdian observó el 24 de septiembre doce solicitudes contra un honeypot que combinaron CVE-2026-65660 con una debilidad distinta de entrega anónima. En sitios configurados para permitir visualización anónima, la cadena intentó llegar a la ejecución previa a la autenticación mediante dos etapas: desactivar una salvaguarda de deserialización y cargar un ensamblado cifrado.

El aviso de Microsoft cubre SharePoint Server 2016, SharePoint Server 2019 y SharePoint Server Subscription Edition; SharePoint Online no forma parte de esta exposición. La investigación pública registró intentos contra AddGallery.aspx y designgallery.aspx, incluidos caminos con segmentos /_layouts/ repetidos y el parámetro DisplayMode=Edit.

La actividad observada buscó crear el webshell /_layouts/15/sphealth.aspx y empleó ensamblados denominados wt3k3sij.dll y 24e5mo4s.dll. Estos artefactos sirven para correlación, pero no prueban compromiso por sí solos y deben analizarse junto con registros IIS, telemetría de endpoints y cambios recientes en el servidor.

Las organizaciones deben verificar que todos los servidores de la granja recibieron los paquetes aplicables de agosto y tratar cualquier exposición sin corregir como una posible intrusión. La actualización cierra la vulnerabilidad, pero no elimina mecanismos de persistencia que un atacante ya haya implantado.