El fallo permitió la ejecución remota de código y la implantación de web shells en infraestructuras críticas: empresas y gobiernos bajo riesgo
Redmond, julio de 2025 — Microsoft ha emitido un parche de emergencia para mitigar un conjunto de vulnerabilidades críticas explotadas activamente contra servidores on-premises de SharePoint. El ataque, denominado “ToolShell”, se basa en un bypass de autenticación y una falla de deserialización que permitieron a actores cibernéticos introducir web shells maliciosas en entornos corporativos y gubernamentales sin autorización.
El incidente se remonta a inicios de julio, cuando se identificaron accesos sospechosos a través del archivo ToolPane.aspx. Una vez burladas las defensas, los atacantes desplegaban spinstall0.aspx, una shell que les otorgaba control remoto, facilitando el robo de claves ASP.NET y permitiéndoles firmar sesiones manipuladas. Expertos en ciberseguridad advirtieron que estos movimientos laterales habilitan el acceso persistente incluso tras una limpieza superficial del sistema.
Las vulnerabilidades han sido catalogadas con niveles de riesgo críticos, incluyendo dos registros actualizados recientemente con puntajes CVSS de hasta 9.8. Organismos como la Agencia de Ciberseguridad e Infraestructura de los Estados Unidos (CISA) y firmas privadas como CrowdStrike y Palo Alto Networks confirmaron intentos de explotación a gran escala. Los sectores más afectados incluyen telecomunicaciones, energía, infraestructura pública y entornos empresariales que aún dependen de servidores SharePoint locales.
Microsoft reconoció que los primeros parches resultaron insuficientes para frenar la intrusión, por lo que desplegó una actualización complementaria apenas días después. Fuentes técnicas revelaron que los atacantes aprovecharon la ventana de tiempo entre los parches para insertar cargas adicionales, incluyendo puertas traseras encubiertas y modificaciones a las claves criptográficas internas.
Entre los grupos señalados se encuentra Storm‑2603, una célula cibernética con presuntos vínculos con servicios de inteligencia chinos. Esta agrupación ha sido relacionada anteriormente con operaciones de espionaje digital, ataques a proveedores de software y robos de propiedad intelectual estratégica. La sincronía de ataques en múltiples regiones sugiere coordinación avanzada y objetivos de largo plazo.
El parche definitivo, disponible para SharePoint 2019 y SharePoint Subscription Edition, requiere además la rotación inmediata de machine keys, el refuerzo de la interfaz AMSI y la activación obligatoria de Microsoft Defender con capacidades en tiempo real. Se recomienda, asimismo, la desconexión de servidores expuestos al internet y el análisis forense de logs en busca de patrones inusuales asociados a ToolPane.aspx.
Expertos consultados por Phoenix24 coincidieron en que este evento marca un punto de inflexión para entornos on-premises. La tendencia hacia soluciones híbridas no ha sido acompañada por el mismo nivel de protección en servidores autoadministrados, lo que genera brechas críticas que grupos avanzados pueden explotar con relativa facilidad. En entornos donde no se aplican parches inmediatamente o donde los recursos técnicos son limitados, la vulnerabilidad persiste incluso después de la divulgación pública.
El incidente recuerda los ataques a Exchange Server de 2021, cuando un vector similar de ejecución remota permitió el ingreso masivo de grupos vinculados a APTs. La lección permanece vigente: los servicios empresariales que funcionan sin supervisión activa o expuestos sin medidas de segmentación representan objetivos prioritarios para actores con recursos, tiempo y motivación estratégica.
La presión sobre Microsoft también crece. Aunque su respuesta fue más ágil que en casos anteriores, sectores críticos cuestionan la falta de revisión profunda en la primera actualización, que dejó caminos abiertos para continuar con el ataque. Esto refuerza la necesidad de pruebas proactivas, evaluación automatizada de parches y la cooperación estrecha con agencias nacionales de ciberseguridad para detectar lagunas antes de que escalen.
El impacto geopolítico no es menor. Mientras Estados Unidos y la Unión Europea refuerzan sus directrices de protección de infraestructuras digitales clave, este incidente podría acelerar nuevas normas de ciberseguridad obligatoria para empresas privadas que operan con plataformas Microsoft. Asia, por su parte, observa con cautela, y expertos japoneses ya han advertido sobre campañas similares contra sistemas gubernamentales en Tokio y Singapur.
Microsoft insiste en que, tras la actualización más reciente, la vulnerabilidad está mitigada. Sin embargo, el daño ya está hecho en muchos casos, con infiltraciones que se remontan a varias semanas atrás. A medida que equipos de respuesta a incidentes exploran las consecuencias, la confianza en la arquitectura tradicional de SharePoint se pone en tela de juicio. Algunas empresas ya contemplan migrar definitivamente a entornos completamente en la nube bajo administración centralizada.
Porque en una era donde los servidores on-premises son el eslabón débil de muchas organizaciones, el verdadero enemigo no es el malware aislado, sino la complacencia en la defensa digital.
Con base en fuentes abiertas, reportes oficiales y contrastes verificables, Phoenix24 presenta este análisis como parte de su ejercicio informativo profesional y autónomo.
Based on open sources, official reports, and verifiable contrasts, Phoenix24 presents this analysis as part of its professional and autonomous journalistic work.