CVE-2026-65660 en SharePoint on-premise ya se explota activamente

CISA la sumó a su catálogo de explotación activa seis semanas después del parche de agosto. En paralelo, el ransomware Warlock explota fallas distintas de SharePoint para desactivar EDR antes de cifrar, lo que anticipa hacia dónde va esta vulnerabilidad.

Qué pasó

Microsoft corrigió CVE-2026-65660 en las actualizaciones del Patch Tuesday de agosto de 2026. El boletín la describe como una vulnerabilidad de inyección de código en SharePoint Server (on-premise) que permite a un atacante autenticado, con acceso de bajo nivel a un servidor afectado, ejecutar código arbitrario sin interacción del usuario.

Según el aviso citado por segu-info, Microsoft declaró que, a fecha del 25 de septiembre de 2026, contaba con "pruebas fiables" de explotación activa en el mundo real — aproximadamente seis semanas después de liberado el parche y un par de días después de que investigadores de seguridad publicaran detalles técnicos del fallo. Ese mismo 25 de septiembre, CISA la incorporó a su catálogo de *Known Exploited Vulnerabilities* (KEV).

SharePoint Server on-premise viene siendo blanco recurrente en 2026: en agosto ya se habían sumado cuatro fallas críticas a KEV que incluían otra vulnerabilidad de este mismo producto, y en septiembre apareció una falla adicional de RCE autenticada que Microsoft había catalogado inicialmente como *spoofing*. CVE-2026-65660 se suma a esa cadena, no la reemplaza.

Por qué importa acá

SharePoint Server on-premise —no SharePoint Online— sigue instalado en organismos públicos, universidades y empresas reguladas en Chile que por residencia de datos o costo no migraron a la nube. No tenemos cifras públicas de cuántas instancias on-premise operan en el país; no sabemos el número exacto, y cualquier cifra sería una evaluación sin base verificable.

Lo que sí es evaluable: una instancia de SharePoint on-premise sin parchar y expuesta a Internet es hoy una puerta de entrada conocida y catalogada en KEV, lo que para cualquier organización que reporte bajo el marco de ciberseguridad (Ley 21.663) eleva la exigencia de remediación inmediata si el activo entra en la categoría de servicio esencial o si la explotación deriva en un incidente con impacto operacional. Si un atacante compromete un servidor SharePoint que sostiene intranets corporativas, portales de gestión documental o flujos de aprobación, el impacto no es solo de disponibilidad: SharePoint suele tener conectividad con Active Directory y con Teams/Outlook, lo que amplía el radio de movimiento lateral.

Confianza media: dado que la explotación activa de este tipo de fallas en SharePoint ha escalado históricamente a webshells y luego a ransomware (como se ve con Warlock sobre fallas distintas), es razonable anticipar que CVE-2026-65660 siga la misma ruta en las próximas semanas. La alternativa que no podemos descartar es que la explotación actual se quede en reconocimiento o robo de datos puntual sin llegar a ransomware.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — CVE-2026-65660 permite ejecución remota de código en servidores SharePoint expuestos, con requisito de autenticación de bajo privilegio pero sin interacción del usuario.
• T1505.003 — La cadena de explotación de SharePoint on-premise (incluida la familia ToolShell que precede a esta CVE) típicamente deja webshells ASPX en el directorio LAYOUTS para persistencia post-explotación.
• T1562.001 — En la campaña de Warlock sobre fallas distintas de SharePoint, el actor desactiva el EDR del servidor comprometido antes de pasar al cifrado — comportamiento que es razonable anticipar también sobre CVE-2026-65660.
• T1486 — Etapa final observada en la campaña de Warlock contra agua y telecomunicaciones; no confirmada aún sobre esta CVE específica.

title: SharePoint IIS Worker Process Spawning Command Interpreter
id: 7a3f9c2e-4b61-4f8d-9a2c-5e1d8b3f6a90
status: experimental
description: |
  Deteccion por comportamiento, no por firma ni IOC. Detecta a w3wp.exe
  (proceso de trabajo de IIS que aloja SharePoint) generando un interprete
  de comandos u otro binario de scripting, patron consistente con
  explotacion de RCE en SharePoint Server (incluida la familia de fallas
  de CVE-2026-65660, para la cual no hay IOCs publicos al momento de
  esta publicacion). Ajustar la lista de procesos padre e hijos al
  entorno real antes de pasar a produccion.
author: Vantis
date: 2026-09-29
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\w3wp.exe'
    Image|endswith:
      - '\cmd.exe'
      - '\powershell.exe'
      - '\powershell_ise.exe'
      - '\cscript.exe'
      - '\wscript.exe'
      - '\mshta.exe'
  condition: selection
falsepositives:
  - Scripts administrativos ejecutados legitimamente por la cuenta del pool de aplicaciones durante mantenimiento o actualizaciones
  - Tareas programadas que invocan PowerShell desde el contexto de IIS
level: high
tags:
  - attack.initial_access
  - attack.t1190

// Deteccion conductual - status experimental, sin IOCs publicos confirmados
// Ajustar la lista de procesos hijo segun el entorno antes de habilitar en modo bloqueo
DeviceProcessEvents
| where InitiatingProcessFileName =~ "w3wp.exe"
| where FileName in~ ("cmd.exe","powershell.exe","powershell_ise.exe","cscript.exe","wscript.exe","mshta.exe")
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, AccountName
| order by Timestamp desc

<!-- Deteccion conductual por integridad de archivos, status experimental -->
<!-- No corresponde a firma ni IOC especifico de CVE-2026-65660 -->
<rule id="100150" level="12">
  <if_sid>550</if_sid>
  <field name="file">(?i)Web Server Extensions.*\.aspx$</field>
  <description>Posible webshell: archivo ASPX creado o modificado en directorio de extensiones web de SharePoint</description>
  <group>sharepoint,web_shell,</group>
</rule>

Fuentes

• segu-infoVulnerabilidad crítica Microsoft SharePoint Server (local) explotada activamente · 2026-09-29
• CISACISA Adds Two Known Exploited Vulnerabilities to Catalog · 2026-09-25
• The Hacker NewsSharePoint RCE and MikroTik RouterOS Flaws Actively Exploited in the Wild · 2026-09-26
• The Hacker NewsSharePoint Flaw Initially Listed as Spoofing by Microsoft Enables Authenticated RCE · 2026-09-22
• CSA LabsWarlock Ransomware: Year-Old SharePoint Flaws, Modern EDR Evasion · 2026-10-05
• The Hacker NewsWarlock Exploits SharePoint Flaws to Disable Security Tools and Deploy Ransomware · 2026-10-03
• segu-infoEl ransomware Warlock vulnera SharePoint en los sectores de agua y telecomunicaciones · 2026-10-05

Relacionado