Zdjęcie: © BoliviaInteligente / Unsplash
Źródło: unsplash.com/photos/wIBDrEv73xY
Microsoft potwierdził, że luka w serwerowym oprogramowaniu SharePoint jest wykorzystywana w rzeczywistych atakach. Podatność otrzymała oznaczenie CVE-2026-65660 i została zaklasyfikowana jako błąd zdalnego wykonania kodu. Firma wydała poprawkę w ramach aktualizacji Patch Tuesday z sierpnia 2026 roku, jednak do ataków doszło około sześciu tygodni później. 25 września Microsoft poinformował, że ma wiarygodne dowody na wykorzystanie tej luki.
Tego samego dnia amerykańska agencja CISA dodała CVE-2026-65660 do katalogu KEV, czyli listy podatności wykorzystywanych w atakach. Federalne agencje Stanów Zjednoczonych otrzymały termin na wdrożenie aktualizacji do 28 września. Termin ten dotyczy administracji federalnej, ale sam wpis w katalogu KEV jest również ważnym sygnałem dla innych organizacji korzystających z SharePoint. W przypadku podatności, dla której potwierdzono aktywne ataki, opóźnianie instalacji dostępnej poprawki zwiększa ryzyko pozostawienia serwera bez odpowiedniej ochrony.
Pierwsze próby wykorzystania luki zostały zaobserwowane 24 września przez Previdian, platformę zajmującą się wczesnym ostrzeganiem o zagrożeniach, wcześniej działającą pod nazwą KEVIntel. Dzień później firma odnotowała próby utworzenia webshella, czyli mechanizmu mogącego zapewnić zdalny dostęp do zaatakowanego serwera. Nie wiadomo, kto stoi za kampanią. Według Previdian obserwowane działania wyglądały na oparte na informacjach technicznych ujawnionych przez badaczy Viettel Security, którzy wcześniej zgłosili lukę Microsoftowi.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Katalog KEV to prowadzona przez CISA lista podatności, które zostały potwierdzone jako wykorzystywane w rzeczywistych atakach.
Błąd polegający na niewłaściwym sprawdzeniu rodzaju przetwarzanych danych, co może otworzyć nieprzewidzianą ścieżkę działania aplikacji.
Podatność umożliwiająca napastnikowi uruchomienie własnych poleceń lub programu na zaatakowanym komputerze przez sieć, bez fizycznego dostępu do urządzenia.
Microsoft opisuje CVE-2026-65660 jako problem z wstrzykiwaniem kodu. Do wykorzystania podatności potrzebny jest uwierzytelniony atakujący, który ma niski poziom uprawnień do podatnego serwera. Nie jest wymagana interakcja użytkownika. W praktyce oznacza to, że samo wykorzystanie luki nie zaczyna się od całkowicie anonimowego dostępu, ale po spełnieniu warunków atakujący może doprowadzić do uruchomienia dowolnego kodu na serwerze SharePoint.
Technicznie podatność obejmuje obejście sprawdzania typu, określane jako type-check bypass. Według opisu Microsoftu pozwala ono uwierzytelnionemu atakującemu uzyskać zdalne wykonanie kodu. Uzyskanie RCE bez uwierzytelnienia wymagałoby połączenia tej luki z odrębną podatnością umożliwiającą obejście uwierzytelniania. Źródło nie wskazuje, aby taki łańcuch był konieczny w każdej z zaobserwowanych prób.
Viettel Security podał, że Microsoft początkowo klasyfikował problem jako podatność o średnim poziomie zagrożenia, związaną z podszywaniem się. Później ocena została zmieniona na lukę o wysokim poziomie zagrożenia, prowadzącą do zdalnego wykonania kodu. Dla zespołów odpowiedzialnych za SharePoint oznacza to konieczność sprawdzenia, czy sierpniowe aktualizacje zostały wdrożone na wszystkich odpowiednich serwerach, a także przeanalizowania alertów i logów pod kątem nieoczekiwanych zmian. Szczególną uwagę warto poświęcić sygnałom wskazującym na próbę utworzenia webshella. CISA wymienia obecnie 16 podatności dotyczących SharePoint, w tym osiem odkrytych i załatanych w 2026 roku.
Brak komentarzy. Bądź pierwszy!