Para: organizaciones que ejecutan Microsoft SharePoint Server en sus propios servidores (Subscription Edition, 2019 o 2016), y los socios que los mantienen. SharePoint Online en Microsoft 365 no figura en el aviso. Esta página se basa en la guía de actualizaciones de seguridad de Microsoft, NVD y el catálogo KEV de CISA; no contiene pasos de ataque ni código de exploit.
En desarrollo: esta página se actualizará a medida que se publique más
- A quién afecta
organizaciones que ejecutan Microsoft SharePoint Server en sus propios servidores (Subscription Edition, 2019 o 2016), y los socios que los mantienen. SharePoint Online en Microsoft 365 no figura en el aviso.
- Confirmado hasta ahoraVer la tabla ↓
- Productos afectados y compilaciones corregidas
- Requiere iniciar sesión
- Ataques reales
Señalado como posiblemente afectado
- Intentos sin iniciar sesión mediante la visualización anónima
- Aún sin confirmar
- Cuántos servidores fueron atacados o comprometidos
- El número CVE del problema distinto corregido en junio de 2026, y si Microsoft relaciona ambos
- Qué hicieron los atacantes tras ejecutar código en los servidores
- Qué hacer ahoraVer los pasos ↓
- Compruebe la compilación de cada servidor de la granja
- Instale todos los paquetes de actualización de su versión
- Confirme que también están instaladas las actualizaciones de junio de 2026
2 más
- Revise el acceso anónimo
- Revise los servidores que iban retrasados en actualizaciones
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Microsoft, Security Update Guide: CVE-2026-65660, Microsoft SharePoint Server Remote Code Execution Vulnerability (11 de agosto de 2026; revisión 1.2, 25 de septiembre)
- Última comprobación
- A fecha del 31 de octubre de 2026 (JST)
Próximos avisos y qué comprobamos
El aviso de Microsoft (revisión 1.2, 25 de septiembre) y la entrada de KEV son públicos. Consultamos la guía de actualizaciones de seguridad de Microsoft, NVD y el feed KEV de CISA (versión 2026.10.30) el 31 de octubre.
Qué hacer hoy
Compruebe la compilación de cada servidor de la granja
En la Administración central de SharePoint, o con PowerShell en cada servidor, lea la compilación instalada y compárela con la compilación corregida de su versión: Subscription Edition 16.0.19725.20522, 2019 16.0.10417.20198, 2016 16.0.5565.1001. Revise cada servidor de la granja, incluidos los de búsqueda y de aplicaciones.
Instale todos los paquetes de actualización de su versión
Subscription Edition: KB5002893. SharePoint Server 2019: KB5002894 y KB5002896. SharePoint Enterprise Server 2016: KB5002905 y KB5002906. Las preguntas frecuentes de Microsoft indican aplicar todas las actualizaciones ofrecidas para el software instalado. Tras instalarlas, ejecute el Asistente para configuración de productos de SharePoint (o PSConfig) en cada servidor para completar la actualización.
Confirme que también están instaladas las actualizaciones de junio de 2026
Una empresa de seguridad informa de que los intentos de ataque combinaban este fallo con un problema distinto que, según un equipo de investigación de seguridad, se corrigió el 9 de junio de 2026. Asegúrese de que están instaladas las actualizaciones de SharePoint de junio de 2026, no solo las de agosto.
Revise el acceso anónimo
Los intentos que describe la empresa de seguridad dependen de sitios que admiten la visualización anónima. Haga una lista de las aplicaciones web y los sitios que tienen activado el acceso anónimo, y desactívelo donde no haga falta. Mantenga SharePoint fuera de internet salvo que tenga que ser público y, cuando sea posible, colóquelo detrás de una pasarela que exija iniciar sesión.
Revise los servidores que iban retrasados en actualizaciones
KEV marca este CVE para los requisitos de triaje forense de CISA. En términos generales (sugerencia nuestra): busque archivos .aspx o .dll nuevos en las carpetas web de SharePoint que su equipo no desplegó, procesos inesperados iniciados por el proceso de trabajo de IIS y solicitudes POST inusuales en los registros de IIS desde direcciones que no reconoce. Si encuentra algo que no puede explicar, aísle el servidor, implique a su equipo de respuesta a incidentes y rote las credenciales y claves que guarda el servidor antes de volver a conectarlo.
Qué se divulgó
- Producto
- Microsoft SharePoint Server Subscription Edition, SharePoint Server 2019, SharePoint Enterprise Server 2016 (locales)
- Tipo
- Inyección de código (CWE-94)
- Autenticación
- Necesaria: acceso de bajo nivel. Sin interacción del usuario (Microsoft)
- Gravedad
- CVSS v3.1 8.8; calificación de Microsoft: Important
- Compilaciones corregidas
- Subscription Edition 16.0.19725.20522 (KB5002893); 2019 16.0.10417.20198 (KB5002894, KB5002896); 2016 16.0.5565.1001 (KB5002905, KB5002906)
- Publicación
- 11 de agosto de 2026 (actualizaciones de seguridad mensuales)
- Explotación
- "Pruebas fiables de ataques observados" a 25 de septiembre de 2026 (Microsoft)
- KEV
- Añadido el 25 de septiembre de 2026; fecha límite: 28 de septiembre. Marcado para los requisitos de triaje forense de CISA
1. Comprobar compilaciones
Cada servidor de la granja
2. Instalar todos los paquetes
Los KB de agosto, y también las actualizaciones de junio
3. Revisar y comprobar
Acceso anónimo; señales de compromiso
Cronología
9 de junio de 2026
Un equipo de investigación de seguridad informa de que en esta fecha se corrigió un problema distinto de SharePoint que permitía la entrega anónima de solicitudes (en su análisis no se identifica ningún número CVE).11 de agosto
Microsoft publica CVE-2026-65660 y las actualizaciones de seguridad, y lo describe primero como un fallo de suplantación.27 de agosto
Microsoft cambia el título, el impacto y las preguntas frecuentes a ejecución remota de código (revisión 1.1, descrita como informativa).24 de septiembre
Una empresa de seguridad informa de intentos de ataque contra un honeypot que combinan este fallo con el problema distinto de entrega anónima.25 de septiembre
Microsoft añade que tiene pruebas fiables de ataques observados (revisión 1.2). CISA añade el CVE al catálogo KEV con fecha límite del 28 de septiembre.31 de octubre
Ninguna revisión posterior del aviso de Microsoft.
Qué se sabe y qué no
| Elemento | Lo que dicen las fuentes | Estado |
|---|---|---|
| Productos afectados y compilaciones corregidas | Tres versiones locales; actualizaciones del 11 de agosto | Confirmado (Microsoft) |
| Requiere iniciar sesión | Acceso de bajo nivel, sin interacción del usuario | Confirmado (Microsoft) |
| Ataques reales | Pruebas fiables de ataques observados (25 de septiembre) | Uso indebido confirmado (Microsoft) |
| Intentos sin iniciar sesión mediante la visualización anónima | Intentos vistos en un honeypot, combinados con un problema distinto | Posible |
| Número CVE del problema de junio | No identificado en las fuentes consultadas | No consta |
| Número de servidores comprometidos | No publicado | No consta |
| SharePoint Online | No figura en el aviso de Microsoft | No consta |
Los datos del aviso de Microsoft seguían mostrando "Exploited: No" en su campo de resumen el 31 de octubre, mientras que la nota de la revisión del 25 de septiembre dice que se observaron ataques. La nota de revisión es la declaración posterior, y CISA incluye el CVE como explotado.
Por qué importó la primera etiqueta
Cuando salió la actualización el 11 de agosto, el aviso lo llamaba fallo de suplantación. Solo pasó a ser ejecución remota de código el 27 de agosto, en una revisión que Microsoft marcó como informativa; Microsoft no consideró que la revisión 1.1 requiriera una notificación. Los equipos que ordenaron las actualizaciones de agosto por impacto pueden haberlo programado después que otras correcciones.
La lección para cualquier granja de SharePoint es instalar las actualizaciones de SharePoint de cada mes como un conjunto, en lugar de elegir según la etiqueta de cada CVE. Las etiquetas pueden cambiar después de la publicación, y un fallo que requiere iniciar sesión puede combinarse con otro que elimine ese requisito.
Fuentes
Consultadas el 31 de octubre de 2026 (JST).
- Microsoft, Security Update Guide: CVE-2026-65660, Microsoft SharePoint Server Remote Code Execution Vulnerability (11 de agosto de 2026; revisión 1.2, 25 de septiembre) — msrc.microsoft.com
- NVD, CVE-2026-65660 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog (añadido el 25 de septiembre de 2026) — cisa.gov
- Informe de una empresa de seguridad sobre intentos de ataque (24 de septiembre de 2026; actualizado el 25 de septiembre) — blog.previdian.com
Historial de actualizaciones
2026-10-31: Primera versión, basada en la guía de actualizaciones de seguridad de Microsoft, NVD, el catálogo KEV de CISA y el informe de una empresa de seguridad.
Leer a continuación
- Explotadas en el mismo periodo: Vulnerabilidades explotadas en dispositivos perimetrales, mediados de octubre de 2026
- Priorizar correcciones: Cómo decidir qué CVE corregir primero (CVSS, EPSS, KEV)
- Buscar señales de compromiso: Cómo comprobar si su servidor ha sido comprometido
- Pasos de respuesta: Guía de corrección de vulnerabilidades
- Términos: ¿Qué es la ejecución remota de código (RCE)? / ¿Qué es CVSS?