CVE-2026-65660: RCE por Inyección de Código en Microsoft SharePoint Añadida a CISA KEV

CISA ha sumado CVE-2026-65660 a su catálogo de vulnerabilidades explotadas (KEV) imponiendo una fecha límite de remediación hasta el 28 de septiembre de 2026. Aunque Microsoft la catalogó originalmente como un fallo de suplantación, analistas de inteligencia y respuesta a incidentes confirmaron que se trata de una vulnerabilidad crítica de ejecución remota de código (RCE) explotada activamente en granjas locales de SharePoint.

Mecánica de Deserialización Insegura

El fallo se encuentra en el motor de ejecución de flujos de trabajo de SharePoint y en el procesamiento de formularios serializados. Al procesar peticiones web que contienen definiciones de flujo de trabajo XML o recursos serializados, SharePoint deserializa objetos sin validar tipos permitidos:

// Patrón vulnerable en Microsoft.SharePoint.Workflow
public object DeserializarDefinicionFlujo(Stream flujoEntrante) {
    BinaryFormatter formateador = new BinaryFormatter();
    // Ejecución arbitraria de código mediante cadenas de gadgets .NET
    return formateador.Deserialize(flujoEntrante);
}

Los atacantes combinan esta deserialización con clases puente en .NET para ejecutar código en el proceso w3wp.exe de IIS, adquiriendo las credenciales de la base de datos de la granja y tokens de Active Directory.

Detección y Caza de Amenazas

Monitorear procesos secundarios anómalos iniciados desde el proceso de trabajo de SharePoint (w3wp.exe) como cmd.exe o powershell.exe.

# Búsqueda en registros de IIS de peticiones sospechosas a layouts
Get-ChildItem -Path "C:\inetpub\logs\LogFiles" -Recurse -Filter "*.log" | 
Select-String -Pattern "POST /_layouts/15/.*.ashx|POST /_layouts/15/ToolShell"

Guía de Remediación

1. Instalar Parche de Septiembre 2026: Aplicar la actualización acumulativa en todos los servidores WFE y de aplicaciones de la granja.
2. Ejecutar Asistente de Configuración: Completar el comando psconfig.exe -cmd upgrade -inplace b2b -wait para actualizar los esquemas de bases de datos.
3. Activar AMSI en IIS: Verificar que la interfaz Antimalware Scan Interface esté habilitada para inspeccionar scripts .NET en memoria.