Una vulnerabilità zero-day di SharePoint concede diritti di amministratore della farm, avverte la CISA

La CISA ha aggiornato le proprie avvertenze di sicurezza a seguito dello sfruttamento attivo di diverse vulnerabilità presenti in Microsoft SharePoint Server. Gli autori delle minacce stanno prendendo di mira le istanze on-premise, tra cui SharePoint Server 2016, 2019 e la versione in abbonamento, con l’obiettivo di eseguire codice in remoto e sottrarre segreti crittografici.

Vulnerabilità aggiunte al catalogo KEV

Quest’annola CISA ha aggiunto diverse vulnerabilità di SharePoint al proprio catalogo delle vulnerabilità note e sfruttate (KEV): CVE-2026-32201 (14 aprile), CVE-2026-45659 (1° luglio), CVE-2026-56164 (14 luglio) e CVE-2026-50522 (22 luglio), l’ultima delle quali è stata oggetto di sfruttamento attivo in seguito alla pubblicazione di una prova di concetto.

CVE-2026-56164 è una vulnerabilità di escalation dei privilegi senza autenticazione. Microsoft l’ha risolta nell’ambito del rilascio del Patch Tuesday di luglio 2026.

CVE-2026-55040 è una vulnerabilità distinta di bypass dell’autenticazione (CVSS 9.1) derivante da un sistema di autenticazione debole. Non richiede privilegi preliminari né l’interazione dell’utente, consentendo agli aggressori di assumere l’identità di un utente o di un amministratore del sito SharePoint. Microsoft e Rapid7 l’hanno resa nota in concomitanza con il rilascio del Patch Tuesday di luglio, ma al momento della stesura del presente articolo non è stato confermato che sia attivamente sfruttata e non è stata aggiunta al catalogo KEV.

Come funziona la catena di attacco

Una volta ottenuto un punto d’appoggio, gli aggressori concatenano vulnerabilità di deserializzazione, tra cui CVE-2026-58644 e CVE-2026-50522, per eseguire codice arbitrario con autorizzazioni elevate. Uno degli obiettivi principali della fase post-sfruttamento in queste campagne è il furto delle chiavi di sistema di Internet Information Services (IIS).

SharePoint utilizza queste chiavi di sistema IIS per convalidare e decrittografare i dati ViewState di ASP.NET. Il possesso delle chiavi consente agli autori degli attacchi di falsificare richieste attendibili e mantenere il controllo amministrativo. Di conseguenza, gli intrusi possono rientrare in server completamente aggiornati, distribuire webshell e aggirare i controlli di sicurezza standard anche molto tempo dopo l’applicazione degli aggiornamenti.

L’applicazione delle patch e la rotazione delle chiavi non sono sufficienti di per sé

La CISA e i ricercatori di sicurezza sottolineano che l’applicazione delle sole patch Microsoft non risolve il problema di un sistema compromesso. Anche la rotazione delle chiavi di sistema IIS su un server infetto senza una previa ricerca delle minacce è altrettanto inefficace, poiché script dormienti di raccolta delle chiavi di sistema possono acquisire immediatamente le chiavi appena generate.

Misure di mitigazione raccomandate

Gli amministratori di sistema dovrebbero eseguire ricerche forensi approfondite degli artefatti in tutte le farm SharePoint prima di effettuare la rotazione delle chiavi di macchina. Le organizzazioni dovrebbero inoltre verificare che sia attiva l’ispezione delle richieste in modalità completa dell’Antimalware Scan Interface (AMSI), limitare l’accesso diretto a Internet alle istanze SharePoint e garantire che le interfacce amministrative siano protette da proxy inversi autenticati.