Alerta Máxima por «ToolShell»: la vulnerabilidad en SharePoint que ha provocado una directiva de emergencia en EE.UU.
La Agencia de Ciberseguridad de EE.UU. (CISA) ha emitido una directiva de emergencia, una de sus alertas de máximo nivel, ordenando a todas las agencias federales parchear de inmediato una vulnerabilidad crítica en Microsoft SharePoint. La razón de esta medida drástica es la explotación activa y masiva de un fallo de seguridad, apodado «ToolShell», que está siendo utilizado por grupos de ransomware y actores estatales para atacar servidores en todo el mundo. Esta crisis no afecta solo a gobiernos; es una llamada de atención urgente para miles de empresas que utilizan SharePoint en sus propios servidores y que podrían estar expuestas sin saberlo.
¿Qué es «ToolShell»? La anatomía de un ataque silencioso
«ToolShell» se refiere a la explotación de una vulnerabilidad crítica (registrada como CVE-2025-53770) que afecta a las versiones de SharePoint que las empresas instalan y gestionan en sus propios servidores (modelo on-premise). Su peligrosidad es extrema por varias razones:
- Permite acceso sin autenticación: Es su característica más grave. Un atacante no necesita un nombre de usuario ni una contraseña para explotar el fallo. Simplemente enviando una solicitud web manipulada, puede ejecutar código de forma remota en el servidor.
- Otorga control total: Una vez dentro, los atacantes pueden robar toda la información almacenada en SharePoint, que a menudo incluye los documentos más sensibles de una organización (contratos, informes financieros, datos de empleados).
- Crea acceso persistente: Los atacantes no solo entran y roban; instalan «webshells» o puertas traseras. Esto les permite extraer las claves criptográficas del servidor. Con estas claves, pueden volver a entrar cuando quieran, incluso si la empresa cambia las contraseñas o aplica el parche de seguridad más tarde.
La paradoja del servidor propio: falso control, riesgo real
Curiosamente, esta vulnerabilidad no afecta a las empresas que utilizan SharePoint Online a través de Microsoft 365, ya que Microsoft gestiona y parchea esa infraestructura directamente. La crisis se ceba con las organizaciones que mantienen el software on-premise.
Esto pone de manifiesto una peligrosa paradoja en el mundo empresarial. Muchas compañías mantienen sus datos en servidores propios bajo una falsa sensación de mayor control y seguridad. Sin embargo, a menudo carecen de los recursos o la disciplina necesarios para mantener un ciclo constante de monitorización y aplicación de parches. La realidad es que la complacencia es la mayor vulnerabilidad, y un sistema sin el mantenimiento adecuado es un objetivo fácil, sin importar dónde esté alojado.
Guía de emergencia: pasos inmediatos para proteger tu empresa
Ante la directiva de CISA y la evidencia de ataques masivos, las empresas que utilicen SharePoint Server 2016, 2019 o Subscription Edition deben actuar de inmediato.
- Identificar y Aislar: El primer paso es determinar si se dispone de servidores SharePoint vulnerables expuestos a internet. Si es así, la recomendación más drástica pero segura es aislarlos de la red inmediatamente para cortar cualquier posible acceso externo.
- Parchear de Inmediato: Microsoft ya ha publicado los parches de seguridad para la vulnerabilidad CVE-2025-53770. Es absolutamente crítico aplicar estas actualizaciones en todos los servidores afectados sin demora.
- Asumir la Brecha: Cazar y Erradicar: Debido al riesgo de acceso persistente, parchear no es suficiente. Las organizaciones deben operar bajo la presunción de que ya han sido comprometidas. Esto implica buscar activamente indicadores de un ataque (como archivos sospechosos en los servidores) y, fundamentalmente, rotar todas las credenciales, claves de aplicación y certificados asociados a SharePoint para invalidar cualquier acceso que los atacantes hayan podido robar.
Esta crisis es una llamada de atención para todo el sector. La seguridad de la infraestructura digital ya no depende solo de tener el control físico, sino de mantener un proceso de ciberseguridad y vigilancia constante.
Fuentes:
- Devel Group: Explotación de la Vulnerabilidad CVE-2025-53770 en SharePoint
- Vectra AI: CVE-2025-53770: A 9.8/10 Critical Exploit Targeting SharePoint
- WeLiveSecurity (ESET): Microsoft lanza parche de emergencia para dos vulnerabilidades críticas en SharePoint Server
- MuyComputerPRO: Microsoft SharePoint, alerta de seguridad crítica
- CCN-CERT (Centro Criptológico Nacional): Explotación activa de una vulnerabilidad crítica en Microsoft SharePoint Server
