Microsoft publica 622 correcciones de seguridad, incluidas dos vulnerabilidades de día cero explotadas

La actualización de seguridad de Microsoft de julio aborda 622 vulnerabilidades únicas, lo que la convierte en la mayor actualización del Patch Tuesday de la compañía hasta la fecha. Dos de las vulnerabilidades son de día cero que, según Microsoft, los atacantes ya están explotando, mientras que una tercera se divulgó públicamente, pero no se ha relacionado con ataques activos.

Las correcciones prioritarias afectan a SharePoint y AD FS

El problema más urgente para las organizaciones que ejecutan SharePoint localmente es CVE-2026-56164, una vulnerabilidad de elevación de privilegios que puede explotarse de forma remota sin autenticación ni interacción del usuario. Microsoft atribuyó a Mandiant y al equipo FLARE de Google la notificación del problema y confirmó que se está utilizando en ataques. Los administradores también pueden reducir la exposición habilitando AMSI en modo completo.

La segunda vulnerabilidad explotada, CVE-2026-56155, afecta a Active Directory Federation Services. Un atacante autenticado podría aprovechar controles de acceso débiles para elevar privilegios localmente. Aunque la vulnerabilidad está clasificada como local, el compromiso de un servidor de AD FS podría tener consecuencias más amplias porque el sistema emite tokens de autenticación confiables en toda la organización.

Ninguna de las dos vulnerabilidades se había añadido al catálogo de Vulnerabilidades Explotadas Conocidas de CISA en el momento de la publicación. No obstante, la designación de Microsoft como vulnerabilidades explotadas debería considerarse motivo suficiente para priorizar su corrección.

Otros problemas destacados

• CVE-2026-50661 es una vulnerabilidad de elusión de BitLocker divulgada públicamente que requiere acceso físico a un dispositivo.
• CVE-2026-55040 es una vulnerabilidad de elusión de la autenticación JWT de SharePoint divulgada por Rapid7. Los investigadores demostraron que podría combinarse con una vulnerabilidad de ejecución remota de código sin corregir, cuya solución se espera para agosto.
• La actualización elimina el interruptor de reversión para la obsolescencia de Kerberos RC4. Las organizaciones deben revisar los eventos de auditoría, identificar las cuentas de servicio que todavía utilizan RC4 y rotar las credenciales para generar claves AES antes de implementar la actualización.

Windows representa 416 de los problemas enumerados, mientras que Office suma 82 y Edge, 46. La actualización también incluye vulnerabilidades en herramientas de desarrollo, Azure, SQL Server, Exchange Server, Defender y SharePoint. Entre las entradas destacadas se incluyen una vulnerabilidad de ejecución remota de código en Windows VMSwitch con una puntuación de 9,9 y vulnerabilidades de ejecución remota de código en SQL Server con una puntuación de 8,8.

Microsoft atribuyó el volumen inusualmente elevado, en parte, a la ampliación de las pruebas de seguridad automatizadas. El tamaño de la actualización también refuerza la necesidad de establecer prioridades basadas en el riesgo: la explotación activa, la exposición a Internet, la infraestructura de autenticación y las dependencias que podrían interrumpir las operaciones deberían guiar el orden de implementación más que las puntuaciones de gravedad por sí solas.