Lo m\u00e1s importante en resumen<\/p>\n
- \n
- Parchear primero la autenticaci\u00f3n.<\/strong> CVE-2026-55040 es la entrada. Sin una sesi\u00f3n v\u00e1lida, la cadena de RCE descrita por Rapid7 se rompe.<\/li>\n
- La identidad basta.<\/strong> SID o UPN del usuario objetivo son suficientes como requisito para la suplantaci\u00f3n de identidad.<\/li>\n
- Priorizar on-prem.<\/strong> Los servidores de SharePoint expuestos a Internet son el inventario urgente, no solo la lista de CVE.<\/li>\n
- Segundo Zero-Day en la mira.<\/strong> CVE-2026-56164 (SharePoint EoP) ya fue explotado seg\u00fan Microsoft. Revisar la mitigaci\u00f3n de AMSI.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/span>El proveedor m\u00e1s d\u00e9bil abre la instalaci\u00f3n cr\u00edtica<\/a> \/<\/span> Un controlador firmado deja al protector de endpoints ciego<\/a><\/p>\n
Qu\u00e9 vulnera CVE-2026-55040<\/h2>\n
\u00bfQu\u00e9 es el bypass de JSON Web Token (JWT) en SharePoint?<\/strong> CVE-2026-55040 es una vulnerabilidad en la validaci\u00f3n de JSON Web Token (JWT) de Microsoft SharePoint. Un atacante remoto, no autenticado, puede eludir la autenticaci\u00f3n y ejecutar operaciones como usuario del sitio o administrador, siempre que conozca la identidad objetivo.<\/p>\n
Descubri\u00f3 la vulnerabilidad Stephen Fewer de Rapid7 Labs dentro de un proyecto de investigaci\u00f3n de d\u00eda cero. La coordinaci\u00f3n con Microsoft ven\u00eda en marcha desde el 18 de mayo de 2026. El 14 de julio de 2026 se produjo la divulgaci\u00f3n p\u00fablica junto con el parche de julio.<\/p>\n
\n9,1<\/div>\nCVSS v3.1 para CVE-2026-55040 (Critical)<\/p>\n
Fuente: Rapid7 \/ FIRST-Rechner<\/p>\n<\/div>\n
La condici\u00f3n es precisa: el atacante debe conocer a la v\u00edctima, ya sea a trav\u00e9s del SID de Active Directory o del UPN (usualmente similar a un correo electr\u00f3nico). Posteriormente, puede asumir la identidad. Rapid7 describe la enumeraci\u00f3n de SID m\u00e1s la toma de identidad hasta el administrador del sitio en la demostraci\u00f3n de PoC.<\/p>\n
\nDefinici\u00f3n · JWT-Auth-Bypass<\/p>\n
Un atacante elude la verificaci\u00f3n del token y se hace pasar por un usuario conocido de SharePoint, sin conocer su contrase\u00f1a.<\/p>\n<\/div>\n
\u00bfPor qu\u00e9 el bypass de autenticaci\u00f3n detiene la cadena RCE?<\/h2>\n
Rapid7 encaden\u00f3 el bypass con una vulnerabilidad RCE separada para ejecuci\u00f3n remota de c\u00f3digo no autorizada. Microsoft plane\u00f3 la parte de RCE para el ciclo de agosto. El parche de julio para CVE-2026-55040 ya interrumpe esta cadena. Los bypasses de autenticaci\u00f3n no son problemas menores; abren la superficie de ataque autenticada por completo.<\/p>\n
Paralelamente, el d\u00eda de parches de julio aborda CVE-2026-56164, una vulnerabilidad de elevaci\u00f3n de privilegios en SharePoint con explotaci\u00f3n activa seg\u00fan Microsoft (CVSS 5.3, Moderado). Afecta a: SharePoint Server 2016, 2019 y Subscription Edition. Microsoft hace referencia a la integraci\u00f3n de AMSI como detecci\u00f3n adicional de solicitudes POST da\u00f1inas. Esto no reemplaza el parche, sino que lo complementa.<\/p>\n
Prioridad para administradores DACH<\/h2>\n
Primero inventariar: \u00bfQu\u00e9 servidores de SharePoint est\u00e1n on-premises y son accesibles desde Internet? Cada una de esas instancias es cr\u00edtica. Despu\u00e9s, comprobar el estado del parche contra las actualizaciones de julio. Documentar los builds. Tener un plan de reversi\u00f3n listo, pero no posponer la aplicaci\u00f3n del parche.<\/p>\n
Luego rastrear la identidad: actividades inusuales de administrador de sitio, nuevos webparts, cargas de archivos sospechosas, anomal\u00edas de tokens y autenticaci\u00f3n en los registros. Quien solo marca CVE y ignora la exposici\u00f3n, pierde tiempo.<\/p>\n
\nsharepoint on-premises ahora<\/p>\n
- \n
- ✓<\/span>julio-2026 actualizaciones de SharePoint y validar el estado de compilaci\u00f3n<\/li>\n
- ✓<\/span>inventariar las instancias de SharePoint expuestas a Internet y eliminar la exposici\u00f3n<\/li>\n
- ✓<\/span>verificar la integraci\u00f3n AMSI en SharePoint (mitigaci\u00f3n de Microsoft para rutas EoP relacionadas)<\/li>\n
- ✓<\/span>examinar cuentas de administrador y sitio en busca de inicios de sesi\u00f3n y patrones de token inusuales<\/li>\n
- ✓<\/span>rastrear por separado el bypass de autenticaci\u00f3n y la cadena de RCE: programar el parche de agosto para la componente RCE<\/li>\n<\/ul>\n<\/div>\n
Qu\u00e9 debe ser el paquete del consejo<\/h2>\n
On-Prem-SharePoint sigue siendo una superficie de ataque mientras las rutas de autenticaci\u00f3n sean d\u00e9biles y las instancias est\u00e9n expuestas. CVE-2026-55040 muestra: las plataformas de colaboraci\u00f3n son capas de gesti\u00f3n. Quien las parchea y las a\u00edsla de Internet rompe las cadenas. Quien espera paga m\u00e1s caro el componente de RCE de agosto.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n
\n\u00bfSe puede explotar CVE-2026-55040 de forma remota?<\/strong><\/summary>\n
S\u00ed. Rapid7 describe una ruta de ataque remota y no autenticada. Se requiere conocimiento de la identidad del objetivo (SID o UPN).<\/p>\n<\/details>\n
\n\u00bfEs suficiente el parche de julio contra la cadena completa de ejecuci\u00f3n remota de c\u00f3digo (RCE)?<\/strong><\/summary>\n
Desmonta la cadena descrita por Rapid7 en el Auth-Bypass. La componente de Ejecuci\u00f3n Remota de C\u00f3digo (RCE) se unir\u00e1 al ciclo de agosto. Parchear de inmediato, sin dilaci\u00f3n.<\/p>\n<\/details>\n
\n\u00bfAfecta a SharePoint Online?<\/strong><\/summary>\n
La divulgaci\u00f3n se centra en SharePoint Server y en la canalizaci\u00f3n de validaci\u00f3n JWT de los productos servidor afectados. El alcance exacto del parche se proporciona en la entrada MSRC correspondiente a cada versi\u00f3n.<\/p>\n<\/details>\n
\n\u00bfCu\u00e1l es la diferencia con CVE-2026-56164?<\/strong><\/summary>\n
56164 corresponde a un EoP (exploit) que ya ha sido explotado en la naturaleza. 55040, por su parte, representa un bypass de autenticaci\u00f3n JWT con una puntuaci\u00f3n CVSS 9.1 y la posibilidad de encadenar una ejecuci\u00f3n remota de c\u00f3digo (RCE).<\/p>\n<\/details>\n
\n\u00bfQu\u00e9 mitigaci\u00f3n cuenta adem\u00e1s del parche?<\/strong><\/summary>\n
Reducir la exposici\u00f3n a Internet, activar AMSI en SharePoint, supervisar cuentas de administrador y alarmar operaciones de sitio inusuales.<\/p>\n<\/details>\n
<\/p>\n
Selecci\u00f3n de la redacci\u00f3n<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-8-250x143.jpg\")
<\/span>Recomendado<\/span>Un control de punto final ciego debido a un controlador firmado<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-wenn-gpus-den-saas-etat-auffressen-24878004.jpg\")
<\/span>cloudmagazin<\/span>Cuando las GPUs devoran el presupuesto de SaaS<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-wann-sich-deutsches-ki-modell-rechnet-45689807-250x143.jpg\")
<\/span>MyBusinessFuture<\/span>Cu\u00e1ndo realmente merece la pena un modelo de IA alem\u00e1n<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"CVE-2026-55040: bypass de JWT no autenticado en SharePoint, CVSS 9.1. Cadena Rapid7, parche de julio y checklist para administradores locales.","protected":false},"author":10,"featured_media":22103,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"vulnerabilidad SharePoint CVE-2026-55040","_yoast_wpseo_title":"Bypass de JWT en SharePoint abre sitios locales","_yoast_wpseo_metadesc":"CVE-2026-55040: bypass de JWT no autenticado en SharePoint con CVSS 9.1. Cadena Rapid7, parche de julio y gu\u00eda para administradores locales.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"es","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[257],"tags":[],"class_list":["post-22114","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es"],"evm_reading_time_minutes":5,"wpml_language":"es","wpml_translation_of":22102,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22114","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=22114"}],"version-history":[{"count":2,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22114\/revisions"}],"predecessor-version":[{"id":22134,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22114\/revisions\/22134"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/22103"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=22114"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=22114"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=22114"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - ✓<\/span>inventariar las instancias de SharePoint expuestas a Internet y eliminar la exposici\u00f3n<\/li>\n
- La identidad basta.<\/strong> SID o UPN del usuario objetivo son suficientes como requisito para la suplantaci\u00f3n de identidad.<\/li>\n