Una catena di due vulnerabilità in Microsoft SharePoint consente agli hacker di eseguire codice remoto su server non aggiornati. Proof-of-concept pubblici hanno accelerato gli attacchi, mentre le autorità invitano a rafforzare la sicurezza.
Negli ultimi giorni, Microsoft SharePoint è finito nel mirino di attacchi informatici che sfruttano una catena di due vulnerabilità critiche, permettendo l'esecuzione di codice remoto (RCE) su server non aggiornati. Secondo Defused, società di threat intelligence, gli aggressori stanno approfittando di exploit proof-of-concept (PoC) pubblicati online per compromettere sistemi esposti.
Dettagli delle vulnerabilità sfruttate
La prima vulnerabilità, identificata come CVE-2026-55040, riguarda un bypass dell'autenticazione nel processo di validazione dei token JWT. Questa falla consente a utenti non autenticati di agire come utenti o amministratori di un sito SharePoint. La seconda, CVE-2026-63520, interessa i Business Connectivity Services (BCS) di SharePoint e può essere sfruttata in combinazione con la precedente per ottenere l'esecuzione di codice remoto sul server bersaglio.
Le PoC sono state rese pubbliche rispettivamente da Stephen Fewer di Rapid7 (per CVE-2026-55040, l'11 agosto) e da Jonathan Peterson di VulnCheck (per CVE-2026-63520, il 24 agosto). Già il giorno successivo alla pubblicazione del primo exploit, Defused ha rilevato che il codice era stato rapidamente utilizzato in attacchi reali.
Attività malevole e risposta delle autorità
Il 25 agosto, Defused ha confermato che i cybercriminali stanno ora concatenando le due vulnerabilità nei loro attacchi, come osservato nei propri honeypot. Gli attaccanti eseguono prima il bypass JWT, seguito da una fase di enumerazione degli amministratori e tentativi di sfruttamento del Business Data Catalog legato a CVE-2026-63520. Al momento, non sono stati osservati casi di esecuzione di codice riuscita, ma la minaccia resta concreta.
Secondo Shadowserver, oltre 8.700 server Microsoft SharePoint risultano esposti su Internet, anche se non è chiaro quanti siano honeypot o già protetti contro queste vulnerabilità. Il 18 agosto, la Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha ordinato alle agenzie federali e ai responsabili IT di mettere in sicurezza i server SharePoint contro gli attacchi in corso relativi a CVE-2026-55040.
Rischi crescenti e raccomandazioni di sicurezza
Microsoft ha definito CVE-2026-63520 un obiettivo particolarmente appetibile per gli attori malevoli, anche se non l'ha ancora classificata come vulnerabilità sfruttata attivamente. Già a luglio, CISA aveva avvertito della necessità di proteggere i server SharePoint da tre ulteriori vulnerabilità (CVE-2026-32201, CVE-2026-45659 e CVE-2026-56164) oggetto di attacchi contro istanze on-premises esposte su Internet.
L'agenzia consiglia di seguire le linee guida ufficiali Microsoft per la sicurezza di SharePoint Server e di evitare l'esposizione diretta dei server sulla rete pubblica, se non strettamente necessario. Il 27 agosto, CISA ha inoltre confermato che la vulnerabilità CVE-2026-45659, già segnalata come sfruttata da inizio luglio, è ora utilizzata anche in attacchi ransomware.
Il panorama delle minacce contro SharePoint si fa sempre più complesso: dal novembre 2021, CISA ha segnalato 15 vulnerabilità attivamente sfruttate sulla piattaforma, di cui otto coinvolte anche in campagne ransomware. Questo scenario ricorda quanto già osservato per altre piattaforme critiche, come evidenziato nell'analisi di QWERTYmag sugli attacchi contro MLflow, dove la tempestività nella correzione delle vulnerabilità si è rivelata fondamentale per prevenire furti di credenziali cloud (approfondimento sugli attacchi a MLflow).
