Microsoft está enviando hoy su mayor martes de parches registrado, y dos de las correcciones cierran los agujeros que ya están siendo explotados por los atacantes. Esta versión cubre 622 CVE específicos de Microsoft en la cantidad de guías de actualización de seguridad, más del triple del máximo anterior de aproximadamente 200 en junio.
Estos dos insectos vivos son lo primero que detectas. Microsoft le da crédito a ambos servicios de respuesta a incidentes por su trabajo. Ambas son fallas de escalada de privilegios en la infraestructura de identidad y colaboración. CVE-2026-56164 para SharePoint Server local y CVE-2026-56155 para Servicios de federación de Active Directory.
Ninguno de los dos es uno de los elementos clave de la elegante ejecución remota de código. Se trata de errores de privilegios en dos sistemas que son más importantes de lo que sugiere la puntuación: el almacén de documentos de la empresa y la casilla que firma sus inicios de sesión.
Dos días cero para parchear primero
CVE-2026-56164 es una falla en SharePoint Server anunciada por Microsoft que podría permitir que un atacante no autenticado escale privilegios en la red. No se requieren credenciales ni interacción del usuario y es remoto. Microsoft le da crédito a los servicios de respuesta a incidentes de Mandiant y al equipo FLARE de Google por esto, señalando que se descubrió dentro de un ataque activo, pero Microsoft no dijo cómo fue explotado ni por quién.
Si está ejecutando SharePoint autohospedado, este es el primer reloj que obtiene y hay un segundo reloj allí. Hoy también marca el final del soporte extendido para SharePoint Server 2016 y 2019. A diferencia de Windows Server y SQL Server, ninguno tiene un programa ESU pago al que recurrir.
Además de aplicar parches, el aviso de Microsoft establece que habilitar AMSI en modo completo en el servidor ralentizará los ataques. SharePoint ha sido un imán para los atacantes desde que la cadena ToolShell destruyó servidores sin parches en 2025, y eso no se ha detenido.
CVE-2026-56155, una falla en los Servicios de Federación de Active Directory que Microsoft también ha marcado como explotada, permite a un atacante ya autenticado escalar privilegios localmente a través de controles de acceso débiles. El propio departamento de respuesta a incidentes DART de Microsoft recibe crédito.
AD FS es el cuadro que firma los tokens de fideicomiso inmobiliario restantes. Por lo tanto, los defectos etiquetados como «locales» en ese host merecen más atención de lo que sugiere la etiqueta. Microsoft no dijo qué privilegios otorgó ni cómo los usaron los atacantes.
Vale la pena saberlo para cualquiera que haga un seguimiento de los plazos de reparación. Al momento de escribir este artículo, ninguno de los CVE figura en el catálogo de vulnerabilidades explotadas conocidas de CISA. La propia evaluación de explotabilidad de Microsoft ya ha marcado a ambos como explotables. No espere hasta que la lista KEV sea oficial.
Microsoft también califica la gravedad de los errores de SharePoint como bastante baja. Este es un recordatorio de que las etiquetas de gravedad no son la norma este mes.
Tercer error y cadena de SharePoint en agosto
Se publicó un tercer día cero, pero no se explotó: CVE-2026-50661, otra omisión de BitLocker. No es una emergencia remota ya que requiere acceso físico al dispositivo. Aplico el parche, pero la cola no salta. Continúo realizando la omisión de BitLocker mediante bitskrieg y YellowKey a principios de este año.
SharePoint ha realizado una segunda solución notable. Rapid7 Labs ha publicado CVE-2026-55040, una omisión de autenticación JWT creada para la entrada Pwn2Own Berlin. Las puntuaciones varían dependiendo de a quién le preguntes. Rapid7 califica esto como 5.3 y dice que Microsoft le ha asignado una gravedad media, mientras que ZDI lee esta versión como crítica en 9.1.
No hay debate sobre lo que hace. Rapid7 encadenó otro error de ejecución remota de código para acceder a RCE no autenticado en servidores vulnerables. La mitad de los RCE aún no están parcheados. Microsoft planea solucionarlo en agosto.
Por tanto, julio evitará una corrección que rompería la cadena. La diferencia de 4 puntos para un error también le indica cuál será el número de gravedad este mes.
Limpieza de RC4 que puede interrumpir los inicios de sesión
Esta actualización también concluye las mejoras de Kerberos RC4 de varios años de Microsoft. El lanzamiento de julio eliminará el interruptor de reversión RC4DefaultDisablementPhase en el que han confiado los administradores desde que Microsoft comenzó a tomar medidas enérgicas en enero.
De ahora en adelante, RC4 sólo funcionará para cuentas que estén configuradas explícitamente para permitirlo. Si las cuentas de servicio de su entorno todavía solicitan tickets RC4 Kerberos, es posible que no puedan autenticarse en el momento en que llegue la actualización.
El orden es importante. Utilice los eventos de auditoría RC4 que Microsoft agregó en enero para realizar la primera auditoría, luego rote las contraseñas de las cuentas de servicio marcadas para que Windows pueda generar claves AES para ellas antes de aplicar el parche. La rotación solo corrige las cuentas a las que les faltan claves AES.
Los clientes heredados que están bloqueados en RC4 por configuración o no hablan nada más requerirán sus propias correcciones antes de que se pueda aplicar la actualización. Esto no es una infracción. El problema es que si te saltas la auditoría te llamará a las 2 am.
Por qué la luna tranquila estableció un récord
Julio ha sido históricamente uno de los meses más ligeros en el calendario de Microsoft, por lo que destaca un lanzamiento de este tamaño. Solo Windows representó 416 de los 622 errores, y ZDI contó 95 errores de ejecución remota de código en todas las versiones.
Aquí es donde está el resto y lo que vale la pena extraer de cada montón.
Tanto el día cero de AD FS (CVE-2026-56155) como la derivación de BitLocker expuesta (CVE-2026-50661) existen aquí, por lo que vale la pena retirar la familia de productos CVE Windows416. La puntuación más alta para esta versión es VMSwitch RCE, CVE-2026-57092 (9,9). También hay 5 errores de DHCP RCE y 21 errores de controladores NTFS y ReFS que ZDI ha identificado como una de las causas fundamentales comunes. Office82 se cuenta una vez. Microsoft ha incluido los mismos 82 nuevamente bajo una pista diferente de Office 2016, razón por la cual algunos medios de noticias informan que son 164. Microsoft Edge46ZDI cuenta 21 como propios de Microsoft, no como una nueva inclusión de Chromium. Herramientas para desarrolladores 27 Las funciones de seguridad pasan por alto Visual Studio, VS Code y GitHub Copilot y son principalmente inyección y recorrido de ruta. SharePoint Server17 explotó día cero (CVE-2026-56164) y derivación de cadena en Rapid7 (CVE-2026-55040) y par RCE crítico con CVE-2026-50522 en 9.8. Nada marcado como Azure11 urgente. Par SQL Server8RCE, CVE-2026-54117 y CVE-2026-54118, ambos 8.8. Defender5 2 RCE críticos. Exchange Server5A almacenó XSS en Outlook Web Access en 9.6 (CVE-2026-55008). Microsoft lo denuncia como una suplantación de identidad y le resta importancia. Ningún otro cinco se marcó como urgente.
El recuento proviene de la Guía de actualización de seguridad de Microsoft, que suma un total de 622 CVE únicos este mes. ZDI recopiló de forma independiente 621 resultados y sus revisiones de julio son la fuente de menciones para cada familia.
Microsoft informó esto cinco días antes. En una publicación del 9 de julio, la compañía dijo a los clientes que esperaran «una mayor cantidad de actualizaciones de seguridad incluidas con cada versión de seguridad» a medida que la IA ayuda a encontrar más problemas. Ese esfuerzo incluye MDASH, un sistema de escaneo de agentes multimodelo que descubrió por sí solo 16 errores en el martes de parches de mayo. Microsoft no dijo cuántos de los 622 casos salieron de su cartera en julio.
La misma automatización se realiza en ambos sentidos. Una vez que se distribuye un parche, antes de que la mayoría de las tiendas hayan terminado de probarlo, los atacantes pueden compararlo con la última versión, encontrar errores corregidos y crear un exploit que funcione. Esto elimina el tradicional colchón de «esperar una semana» y cierra la brecha con el logro del miércoles.
También desactiva la clasificación basada en CVSS. Si una versión contiene 600 o más CVE y la mayoría de las acciones tienen una calificación alta o crítica, «Crítica» dejará de clasificarse. Los dos errores explotados de este mes ilustran este punto. Tampoco lo son los títulos 9.8, ambos son defectos de privilegios de nivel medio y ambos ya están en uso.
Utilice indicadores de explotación de KEV, EPSS y Microsoft en lugar de puntuaciones para categorizar lo que se está explotando y parchearlo más rápido que antes. Los números en la caja siguen subiendo.
Source link
