Zdjęcie: © Taylor Vick / Unsplash
Źródło: unsplash.com/photos/M5tzZtFCOfs
Podatność w Microsoft SharePoint, oznaczona jako CVE-2026-55040, jest wykorzystywana w rzeczywistych atakach. Próby ataków zostały zaobserwowane krótko po opublikowaniu publicznego dowodu koncepcji, czyli PoC, przez firmę Rapid7. Microsoft udostępnił poprawkę w lipcu, jednak dostępność publicznych szczegółów technicznych zwiększyła znaczenie szybkiego wdrożenia aktualizacji w organizacjach korzystających z SharePoint.
Microsoft opisał CVE-2026-55040 jako problem związany ze słabym uwierzytelnianiem. Podatność może pozwolić napastnikowi działającemu przez sieć ominąć zabezpieczenie i nawiązać anonimowe połączenie. Według opisu producenta skutkiem może być ujawnienie plików oraz modyfikowanie danych. Rapid7 wskazał, że zdalny napastnik, który nie musi być wcześniej uwierzytelniony, może wykorzystać lukę do ominięcia kontroli dostępu i wykonywania operacji z uprawnieniami użytkownika witryny SharePoint lub jej administratora.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Proof of concept to demonstracja pokazująca, że określony sposób wykorzystania podatności działa. Nie musi być kompletnym narzędziem ataku, ale może ułatwić odtworzenie problemu.
Kontrolowane środowisko lub urządzenie wystawione na działanie sieci, aby obserwować próby ataku i rejestrować używane przez napastników metody.
Katalog KEV to prowadzona przez CISA lista podatności, które zostały potwierdzone jako wykorzystywane w rzeczywistych atakach.
Rapid7 ujawnił techniczne informacje dotyczące CVE-2026-55040 11 sierpnia i udostępnił demonstracyjny skrypt PoC. Dzień później firma zajmująca się analizą zagrożeń, Defused, poinformowała o próbach ataków zarejestrowanych w jej honeypotach. Według tych obserwacji napastnicy korzystali z PoC opublikowanego przez Rapid7. Dane wskazują na szybkie przejście od publicznego opisu błędu do prób jego wykorzystania, ale nie pozwalają ustalić skali aktywności ani tego, kto stoi za atakami.
Microsoft wciąż nie informuje w swoim biuletynie, że podatność jest wykorzystywana. Nie oznacza to jednak automatycznie, że obserwacje firm zajmujących się wywiadem zagrożeń są sprzeczne z komunikatem producenta. W przypadku potwierdzonych incydentów informacje w poradnikach bezpieczeństwa mogą być aktualizowane z opóźnieniem. Organizacje powinny sprawdzić, czy poprawki wydane w lipcu zostały wdrożone na wszystkich używanych instancjach SharePoint.
Rapid7 poinformował również o odkryciu podatności CVE-2026-63520 w SharePoint. Luka została naprawiona przez Microsoft w ramach sierpniowych aktualizacji Patch Tuesday. Według firmy może być łączona z CVE-2026-55040, aby doprowadzić do zdalnego wykonania kodu na serwerach bez wcześniejszego uwierzytelnienia. W dostępnych informacjach nie ma jednak wskazania, że CVE-2026-63520 jest obecnie wykorzystywana w atakach.
CISA wezwała organizacje do aktualizowania instancji SharePoint i ich odpowiedniej ochrony w związku z nową falą ataków. Agencja ostrzegała, że CVE-2026-55040 może zostać wykorzystana w rzeczywistych działaniach napastników, ale do tej pory nie dodała jej do katalogu KEV. Lista obejmuje już ponad tuzin innych podatności SharePoint, dla których potwierdzono wykorzystanie.
CVE-2026-55040 jest piątą tego lata podatnością SharePoint, w przypadku której ujawniono informacje o wykorzystaniu. Wcześniej wymieniano CVE-2026-50522, CVE-2026-58644, CVE-2026-56164 oraz CVE-2026-45659. Publicznie dostępne informacje nie wskazują, kto odpowiada za wykorzystanie tych luk. Najważniejszym działaniem po stronie administratorów pozostaje sprawdzenie poziomu aktualizacji SharePoint, ograniczenie niepotrzebnej ekspozycji usług oraz monitorowanie prób nieautoryzowanego dostępu.
Brak komentarzy. Bądź pierwszy!