ToolShell: parchea SharePoint local por CVE-2025-53770
En julio de 2025 atacantes encadenaron fallos de SharePoint Server, llamados en público ToolShell, para ejecutar código sin login. SharePoint Online no era el producto afectado. Las claves de máquina sí.
La alerta de CISA del 20 de julio de 2025, actualizada hasta el 6 de agosto, describe el uso activo de una cadena contra Microsoft SharePoint Server local. CVE-2025-53770 es el fallo de deserialización de esa cadena, un rodeo del arreglo anterior de CVE-2025-49704. Microsoft lo puntuó con 9,8. CVE-2025-53771 es el rodeo de autenticación relacionado, sobre CVE-2025-49706.
CISA añadió CVE-2025-53770 al catálogo de explotados el 20 de julio de 2025. La alerta anotó después cifrado de archivos y el ransomware Warlock en servidores comprometidos. SharePoint Online y Microsoft 365 no son el producto vulnerable.
Qué estaba afectado
SharePoint Server Subscription Edition, SharePoint Server 2019 y SharePoint Server 2016. Las versiones fuera de soporte, incluido SharePoint Server 2013 y anteriores, no tenían arreglo que aplicar. La acción que CISA pide para esas es desconectarlas de internet.
La cadena daba acceso sin autenticación al contenido y la capacidad de ejecutar código en el servidor. La cobertura pública, incluido el análisis de malware de CISA en agosto, describe web shells dejados en equipos comprometidos. Esta nota no describe la petición que los dejó ahí.
Por qué un parche solo no lo cerraba
Microsoft y quienes respondieron dijeron que los atacantes robaron las claves de máquina ASP.NET del servidor. Esas claves permiten que una petición posterior se considere de confianza cuando la página vulnerable ya no está. Un equipo que instaló la actualización de julio y conservó las claves viejas podía volver a ser entrado.
Por eso la remediación tiene dos pasos: la actualización y rotar las claves. Rotar claves cierra sesiones y rompe integraciones a propósito. Hay que planearlo. Saltárselo deja la credencial que la intrusión ya copió.
Qué actualización instalar
Usa las actualizaciones de emergencia que Microsoft publicó para Subscription Edition, 2019 y 2016 en la ventana del 20 y 21 de julio de 2025, y cualquier acumulativa posterior que las sustituya. La página del CVE del fabricante es la lista que sigue vigente. Una instalación del Patch Tuesday de julio anterior al rodeo es el build al que este incidente le dio la vuelta.
Si el servidor es 2013 o más viejo, no hay build que esperar. Sácalo de internet, como escribió CISA en la ficha, y mueve los sitios a un servidor soportado o a SharePoint Online.
Después de la actualización
Rota las claves de máquina con los pasos que Microsoft documenta para SharePoint y reinicia la granja para que todos los servidores suelten el material viejo. Busca en el servidor páginas inesperadas añadidas desde mediados de julio de 2025 y consérvalas si aparecen. Da por hecho que las cuentas y las contraseñas de servicio que el proceso de SharePoint podía leer necesitan un reinicio.
Manda los registros de IIS y de SharePoint a un almacén que el servidor no pueda editar. El reporte de malware de CISA de agosto es el sitio de los indicadores. Las reglas de detección no sustituyen la actualización ni la rotación de claves.
La alerta de SharePoint de CISA, publicada el 20 de julio de 2025 y actualizada hasta el 6 de agosto de 2025.
https://www.cisa.gov/news-events/alerts/2025/07/20/update-microsoft-releases-guidance-exploitation-sharepoint-vulnerabilities
Preguntas frecuentes
¿SharePoint Online necesita CVE-2025-53770?
No. Microsoft y CISA limitaron el fallo a SharePoint Server local. SharePoint Online no era el producto afectado. Un servidor viejo que todavía publicas al lado del inquilino sí lo era.
¿Basta instalar la actualización de julio?
Instala la actualización de emergencia de tu edición soportada y rota las claves de máquina ASP.NET. Microsoft dijo que las claves robadas sobrevivían a la corrección del código. Los servidores fuera de soporte deben desconectarse.
¿Qué CVE va en el ticket de cambio?
CVE-2025-53770 es el que CISA listó el 20 de julio de 2025. Nombra al lado CVE-2025-53771, y el par anterior CVE-2025-49704 y CVE-2025-49706, porque las correcciones de julio rodearon esos parches.