📌 Resumen ejecutivo

🚨 Conclusiones clave

CVE-2026-50522 no es un elemento rutinario de parcheo. Es un RCE crítico con reportes públicos de exploit, estado KEV y robo de claves de máquina observado.

• Se ha reportado que los atacantes abusaron de la falla para obtener claves de máquina de SharePoint.
• Las claves de máquina robadas pueden permitir la falsificación de tokens de autenticación y un acceso que podría sobrevivir al parcheo.
• El parcheo cierra la vulnerabilidad, pero los servidores expuestos aún requieren búsqueda de compromiso y rotación de claves.
• Los servidores SharePoint on-premises expuestos a Internet deben tratarse como riesgo de emergencia.

🧭 Ruta de ataque

flowchart TD
    A[Remote attacker] --> B[Reachable on-prem SharePoint]
    B --> C[Crafted request to sign-in/auth surface]
    C --> D[Unsafe deserialization]
    D --> E[Remote code execution]
    E --> F[Machine-key theft]
    F --> G[Forge auth tokens/cookies]
    G --> H[Impersonate users]
    H --> I[Access SharePoint sites and documents]
    F --> J[Persistence after patch if keys not rotated]

🧩 Versiones afectadas y correcciones

🧠 Resumen de la causa raíz

ZDI identifica el área afectada como la clase SessionSecurityTokenHandler. La falla se debe a una validación insuficiente de los datos proporcionados por el usuario, lo que permite la deserialización insegura y la ejecución remota de código en las instalaciones de SharePoint afectadas.

Los reportes públicos describen una ruta de PoC que involucra el procesamiento de inicio de sesión de SharePoint y /_trust/default.aspx. Los detalles exactos de implementación son limitados porque el código fuente de SharePoint y el diff del parche no son públicos.

🔥 Resumen de inteligencia de amenazas

🕒 Cronología de la investigación

timeline
    title CVE-2026-50522 Timeline
    2026-05-21 : Reported to vendor via ZDI/Pwn2Own path
    2026-07-14 : Microsoft advisory and patches released
    2026-07-15 : ZDI advisory published
    2026-07-17 : Exposure advisory and early exploitation reporting window
    2026-07-20 : Public PoC reportedly appears; exploitation observed within hours
    2026-07-22 : CISA adds CVE-2026-50522 to KEV
    2026-07-25 : CISA remediation due date
    2026-07-27 : Report finalized

🛠️ Plan de acción para defensores

Inmediato — Primeras 24 horas

• Inventariar todos los servidores SharePoint on-premises.
• Priorizar las granjas expuestas a Internet y accesibles para socios.
• Aplicar las actualizaciones de SharePoint de Microsoft de julio de 2026.
• Verificar las compilaciones corregidas en todos los miembros de la granja.
• Preservar los registros de IIS, ULS, WAF, Defender, Windows y EDR.
• Buscar actividad sospechosa de POST /_trust/default.aspx.
• Buscar w3wp.exe lanzando herramientas de línea de comandos.
• Buscar archivos nuevos/modificados .aspx, .ashx, .asmx, .dll y web.config.

Endurecimiento — Próximos 7 días

• Habilitar/verificar la integración de AMSI para cada aplicación web de SharePoint.
• Usar Request Body Scan Full Mode cuando sea factible.
• Eliminar la exposición directa a Internet.
• Colocar SharePoint detrás de un proxy inverso/WAF de capa 7 autenticado.
• Bloquear el acceso externo a Administración Central.
• Restringir las comunicaciones de granja/base de datos.
• Revisar cuentas de servicio, administradores de granja, trabajos de temporizador, tareas programadas y soluciones de granja.
• Planificar la migración fuera de SharePoint 2016/2019 sin soporte cuando corresponda.

🔎 Ideas de detección de alto valor

Web / IIS / WAF

POST /_trust/default.aspx
AND request contains any of:
  SecurityContextToken
  BinaryFormatter
  AAEAAAD

Endpoint / EDR

Parent process: w3wp.exe
Child process: cmd.exe, powershell.exe, pwsh.exe, certutil.exe, bitsadmin.exe,
               mshta.exe, rundll32.exe, regsvr32.exe, cscript.exe, wscript.exe

Integridad de archivos

Monitor:
C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\
C:\inetpub\wwwroot\wss\VirtualDirectories\

Alert on new or modified:
*.aspx, *.ashx, *.asmx, *.dll, web.config

Detecciones de Microsoft Defender / AMSI según la guía de CISA

Exploit:Script/SuspSignoutReqBody.A
Exploit:Script/ToolPaneAuthBypass.A
Exploit:Script/ToolPaneAuthBypass.C
Backdoor:MSIL/LeakFang.A!dha

📊 Matriz de riesgos

✅ Indicadores verificados y brechas

📚 Informe completo

El informe analítico detallado está disponible en este repositorio:

➡️ CVE-2026-50522_CTI_Report.md

Incluye:

• Detalles oficiales de CVE
• Validación de CPE
• Análisis de causa raíz
• Evaluación de la madurez del exploit
• Hallazgos de inteligencia de amenazas
• Tabla de IOC
• Mapeo MITRE ATT&CK
• Ideas de Sigma
• Guía de Wazuh
• Splunk SPL
• Microsoft Sentinel KQL
• Firmas de Snort/Suricata
• Evaluación de riesgos
• Manual de mitigación
• Tabla de procedencia de evidencia
• Supuestos y limitaciones

🔗 Referencias principales

• Guía de actualización de seguridad de Microsoft: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50522
• CVE.org: https://www.cve.org/CVERecord?id=CVE-2026-50522
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-50522
• CISA KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-50522
• ZDI-26-412: https://www.zerodayinitiative.com/advisories/ZDI-26-412/
• Alerta de NHS England: https://digital.nhs.uk/cyber-alerts/2026/cc-4818
• BleepingComputer: https://www.bleepingcomputer.com/news/security/critical-sharepoint-rce-flaw-exploited-to-steal-machine-keys/
• Aviso de Censys: https://censys.com/advisory/cve-2026-50522-cve-2026-58644/