El dato clave no es el número 622, sino que las dos fallas explotadas son vulnerabilidades de escalamiento de privilegios de severidad media en la infraestructura de identidad y colaboración corporativa.
Los dos zero-days que deben parchearse primero
CVE-2026-56164 afecta a SharePoint Server on-premise y permite que un atacante no autenticado escale privilegios a través de la red: sin credenciales, sin interacción del usuario y de forma remota. Fue acreditada a los equipos de respuesta a incidentes de Mandiant y al equipo FLARE de Google, lo que sugiere que se descubrió dentro de ataques reales en curso.
El agravante: SharePoint Server 2016 y 2019 llegaron al fin del soporte extendido ese mismo día, y a diferencia de Windows Server o SQL Server, no cuentan con un programa ESU de pago como red de seguridad. Como mitigación adicional, Microsoft recomienda habilitar AMSI en modo completo en el servidor.
CVE-2026-56155 afecta a Active Directory Federation Services (AD FS) y permite que un atacante ya autenticado eleve privilegios localmente aprovechando controles de acceso débiles. Aunque la etiqueta dice "local", AD FS es el componente que firma los tokens de autenticación del resto del entorno: comprometerlo equivale a comprometer la confianza de toda la organización.
Ninguna de las dos figura todavía en el catálogo KEV de CISA, pero Microsoft ya las marca como explotadas. Esperar la publicación en KEV para actuar es un error de criterio.
Una cadena de ataque que sigue abierta
CVE-2026-55040, un bypass de autenticación JWT en SharePoint divulgado por Rapid7, fue encadenado por los investigadores con una vulnerabilidad separada de ejecución remota de código para lograr RCE sin autenticación. Esa segunda mitad de la cadena aún no está parcheada y Microsoft la corregirá recién en agosto: el parche de julio es lo único que hoy rompe la cadena.
La limpieza de RC4 en Kerberos puede romper autenticaciones
Esta actualización cierra el endurecimiento de Kerberos al eliminar el interruptor de reversión RC4DefaultDisablementPhase. Desde ahora, RC4 solo funciona en cuentas configuradas explícitamente para permitirlo. Si alguna cuenta de servicio todavía solicita tickets Kerberos con RC4, la autenticación puede fallar apenas se aplique la actualización. El orden recomendado es:
- Auditar primero, con los eventos de auditoría RC4 que Microsoft incorporó en enero.
- Rotar las contraseñas de las cuentas marcadas, para que Windows genere claves AES.
- Parchear recién después de completar los dos pasos anteriores.
Punto crítico para la gestión de parches: cuando una actualización trae más de 600 CVEs y buena parte se califica como Alta o Crítica, el CVSS deja de servir como criterio de priorización. Los dos zero-days explotados de este mes son de severidad media. La prioridad debe ordenarse por explotación real —KEV, EPSS y la marca de explotación de Microsoft—, no por puntaje.
Microsoft ya advirtió que este volumen será la nueva normalidad: el uso de IA en el descubrimiento de vulnerabilidades está multiplicando los hallazgos internos, y la misma automatización permite a los atacantes analizar los parches y construir exploits funcionales antes de que la mayoría termine sus pruebas. El margen del "esperemos una semana" ya no existe.
