Lo m\u00e1s importante en resumen<\/p>\n
- \n
- Parchear primero la autenticaci\u00f3n.<\/strong> CVE-2026-55040 es el punto de entrada. Sin una sesi\u00f3n v\u00e1lida, se rompe la cadena de RCE descrita por Rapid7.<\/li>\n
- Identidad basta.<\/strong> SID o UPN del usuario objetivo son suficientes como requisito para la suplantaci\u00f3n de identidad.<\/li>\n
- Priorizar on-prem.<\/strong> Los servidores de SharePoint expuestos a Internet son el inventario urgente, no solo la lista de CVE.<\/li>\n
- Segundo Zero-Day en foco.<\/strong> CVE-2026-56164 (EoP de SharePoint) ya ha sido explotado seg\u00fan Microsoft. Revisar la mitigaci\u00f3n AMSI.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/span>El proveedor m\u00e1s d\u00e9bil abre la instalaci\u00f3n cr\u00edtica<\/a> \/<\/span> Un controlador firmado deja ciego al endpoint<\/a><\/p>\n
Qu\u00e9 CVE-2026-55040 rompe<\/h2>\n
\u00bfQu\u00e9 es el bypass de JWT de SharePoint?<\/strong> CVE-2026-55040 es una vulnerabilidad en la validaci\u00f3n de tokens JWT de Microsoft SharePoint. Un atacante remoto e no autenticado puede eludir la autenticaci\u00f3n y ejecutar operaciones como usuario del sitio o administrador, siempre que conozca la identidad objetivo.<\/p>\n
Descubri\u00f3 la vulnerabilidad Stephen Fewer de Rapid7 Labs como parte de un proyecto de investigaci\u00f3n de d\u00eda cero. La coordinaci\u00f3n con Microsoft comenz\u00f3 el 18 de mayo de 2026. El 14 de julio de 2026 se produjo la divulgaci\u00f3n p\u00fablica junto con el parche de julio.<\/p>\n
\n9,1<\/div>\nCVSS v3.1 de CVE-2026-55040 (Cr\u00edtico)<\/p>\n
Fuente: Rapid7 \/ FIRST-Rechner<\/p>\n<\/div>\n
La condici\u00f3n es precisa: el atacante debe conocer a la persona objetivo, por ejemplo a trav\u00e9s de la SID de Active Directory o UPN (t\u00edpico de correo similar). Posteriormente puede asumir la identidad. Rapid7 describe enumeraci\u00f3n de SID m\u00e1s suplantaci\u00f3n de identidad hasta el administrador del sitio en la representaci\u00f3n de la POC.<\/p>\n
\nDefinici\u00f3n · JWT-Auth-Bypass<\/p>\n
Un atacante evade la verificaci\u00f3n del token y se hace pasar por un usuario conocido de SharePoint, sin conocer su contrase\u00f1a.<\/p>\n<\/div>\n
Por qu\u00e9 el bypass de autenticaci\u00f3n detiene la cadena RCE<\/h2>\n
Rapid7 encaden\u00f3 el bypass con una vulnerabilidad RCE independiente, lo que permite la ejecuci\u00f3n remota de c\u00f3digo no autorizada. Microsoft planea la parte RCE para el ciclo de agosto. El parche de julio para CVE-2026-55040 ya interrumpe esta cadena. Los bypasses de autenticaci\u00f3n no son simples problemas; abren por completo la superficie de ataque autenticada.<\/p>\n
Paralelamente, el parche de julio aborda CVE-2026-56164, una vulnerabilidad de elevaci\u00f3n de privilegios en SharePoint con explotaci\u00f3n activa seg\u00fan Microsoft (CVSS 5.3, Moderado). Afecta a: SharePoint Server 2016, 2019 y Subscription Edition. Microsoft se\u00f1ala la integraci\u00f3n de AMSI como detecci\u00f3n adicional de solicitudes POST maliciosas. Esto no reemplaza el parche, sino que lo complementa.<\/p>\n
Prioridad para administradores DACH<\/h2>\n
Primero inventariar: \u00bfQu\u00e9 servidores de SharePoint on-prem se ejecutan y son accesibles desde Internet? Cada una de estas instancias es cr\u00edtica. Luego comprobar el estado de los parches contra las actualizaciones de julio. Documentar las versiones. Tener preparado el plan de reversi\u00f3n, pero no posponer la aplicaci\u00f3n del parche.<\/p>\n
Luego buscar rastros de identidad: actividades inusuales de administrador de sitio, nuevos webparts, cargas de archivos sospechosas, anomal\u00edas de token y autenticaci\u00f3n en los registros. Quien solo revisa las CVE y ignora la exposici\u00f3n, pierde tiempo.<\/p>\n
\nSHAREPOINT ON-PREMISE AHORA<\/p>\n
- \n
- ✓<\/span>Aplicar los parches de julio-2026 a SharePoint Server y validar el estado de la versi\u00f3n<\/li>\n
- ✓<\/span>Inventariar las instancias de SharePoint expuestas a Internet y eliminar la exposici\u00f3n<\/li>\n
- ✓<\/span>Comprobar la integraci\u00f3n AMSI para SharePoint (mitigaci\u00f3n de Microsoft para rutas EoP relacionadas)<\/li>\n
- ✓<\/span>Revisar cuentas de administrador y sitio en busca de inicios de sesi\u00f3n y patrones de token inusuales<\/li>\n
- ✓<\/span>Rastrear por separado la cadena de bypass de autenticaci\u00f3n y RCE: planificar el parche de agosto para la componente RCE<\/li>\n<\/ul>\n<\/div>\n
Qu\u00e9 debe ser el board-set<\/h2>\n
On-Prem-SharePoint sigue siendo una superficie de ataque mientras las rutas de autenticaci\u00f3n sean d\u00e9biles y las instancias est\u00e9n expuestas. CVE-2026-55040 muestra: las plataformas de colaboraci\u00f3n son capas de gesti\u00f3n. Quien las parchea y las saca de Internet, rompe las cadenas. Quien espera, paga m\u00e1s caro el componente de RCE de agosto.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n
\n\u00bfEs explotable de forma remota CVE-2026-55040?<\/strong><\/summary>\n
S\u00ed. Rapid7 describe un camino de ataque remoto e inauthenticado. La condici\u00f3n es conocer la identidad del objetivo (SID o UPN).<\/p>\n<\/details>\n
\n\u00bfEl parche de julio es suficiente contra la cadena completa de ejecuci\u00f3n remota de c\u00f3digo?<\/strong><\/summary>\n
\u00c9l rompe la cadena descrita por Rapid7. La componente RCE independiente se materializar\u00e1 en el ciclo de agosto. \u00a1Parchear de inmediato!<\/p>\n<\/details>\n
\n\u00bfAfecta al SharePoint Online?<\/strong><\/summary>\n
La divulgaci\u00f3n se centra en SharePoint Server y en la pipeline de validaci\u00f3n JWT de los productos servidor afectados. El alcance exacto del parche se detalla en la entrada de MSRC correspondiente a cada Build.<\/p>\n<\/details>\n
\n\u00bfCu\u00e1l es la diferencia con CVE-2026-56164?<\/strong><\/summary>\n
56164 es una explotaci\u00f3n con explotaci\u00f3n confirmada en el campo. 55040 es el bypass de autenticaci\u00f3n JWT con CVSS 9.1 y potencial de cadena a RCE.<\/p>\n<\/details>\n
\n\u00bfQu\u00e9 mitigaci\u00f3n cuenta adem\u00e1s del parche?<\/strong><\/summary>\n
Reducir la exposici\u00f3n a Internet, activar Antimalware Scan Interface (AMSI) en SharePoint, supervisar cuentas de administrador y alertar sobre operaciones de sitio inusuales.<\/p>\n<\/details>\n
<\/p>\n
Selecci\u00f3n de la redacci\u00f3n<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-8-250x143.jpg\")
<\/span>Recomendado<\/span>Un control de punto final ciego debido a un controlador firmado<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-wenn-gpus-den-saas-etat-auffressen-24878004.jpg\")
<\/span>cloudmagazin<\/span>Cuando las GPUs devoran el presupuesto de SaaS<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-wann-sich-deutsches-ki-modell-rechnet-45689807-250x143.jpg\")
<\/span>MyBusinessFuture<\/span>Cu\u00e1ndo realmente merece la pena un modelo de IA alem\u00e1n<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"CVE-2026-55040: bypass de JWT no autenticado en SharePoint, CVSS 9.1. Cadena Rapid7, parche de julio y checklist para administradores locales.","protected":false},"author":10,"featured_media":22103,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"vulnerabilidad SharePoint CVE-2026-55040","_yoast_wpseo_title":"Bypass de JWT en SharePoint abre sitios locales","_yoast_wpseo_metadesc":"CVE-2026-55040: vulnerabilidad cr\u00edtica en SharePoint con bypass de JWT no autenticado. Parche de julio y gu\u00eda para administradores.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"es","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[257],"tags":[],"class_list":["post-22175","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es"],"evm_reading_time_minutes":5,"wpml_language":"es","wpml_translation_of":22102,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22175","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=22175"}],"version-history":[{"count":2,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22175\/revisions"}],"predecessor-version":[{"id":22646,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22175\/revisions\/22646"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/22103"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=22175"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=22175"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=22175"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - ✓<\/span>Inventariar las instancias de SharePoint expuestas a Internet y eliminar la exposici\u00f3n<\/li>\n
- Identidad basta.<\/strong> SID o UPN del usuario objetivo son suficientes como requisito para la suplantaci\u00f3n de identidad.<\/li>\n