Il bypass JWT consente di impersonare un amministratore
Una vulnerabilità critica di Microsoft SharePoint permette a un attaccante remoto senza credenziali di impersonare un utente scelto, incluso un amministratore del sito.
Il problema, identificato come CVE-2026-55040, ha un punteggio CVSS 9.1 e riguarda la pipeline di validazione dei JSON Web Token (JWT). Per sfruttarlo è sufficiente conoscere l’identità dell’account bersaglio tramite Active Directory SID oppure user principal name (UPN).
Il proof of concept di Rapid7 interroga il domain controller per enumerare gli utenti attraverso i SID. Il processo ripete quindi il bypass fino a individuare un account amministrativo.
Sono interessati:
- SharePoint Server Subscription Edition;
- SharePoint Server 2019;
- SharePoint Server 2016.
SharePoint Online non risulta incluso nell’elenco dei prodotti vulnerabili.
CISA ha classificato il difetto come automatizzabile e con impatto tecnico totale nella valutazione depositata nel National Vulnerability Database il 14 luglio. A quella data non risultavano evidenze di sfruttamento in attacchi reali.
La seconda falla trasforma l’accesso in esecuzione di codice
Rapid7 ha concatenato CVE-2026-55040 con CVE-2026-63520, ottenendo l’esecuzione di codice da remoto senza autenticazione.
La seconda vulnerabilità, divulgata da Microsoft e Rapid7 l’11 agosto, ha CVSS 8.1. Risiede nei Business Connectivity Services (BCS) di SharePoint e deriva dall’istanziazione non sicura di tipi .NET.
Dopo avere impersonato l’utente bersaglio, l’attaccante può avviare codice controllato con i privilegi dell’account di servizio Windows associato al sito. La catena non richiede quindi un account valido.
CVE-2026-63520 riguarda:
- SharePoint Server Subscription Edition;
- SharePoint Server 2019;
- SharePoint Server 2016;
- Project Server 2013 Service Pack 1;
- Office Web Apps 2013 Service Pack 1.
Rapid7 ha pubblicato l’analisi tecnica completa e gli script di proof of concept l’11 agosto.
Il ruolo dell’intelligenza artificiale nella ricerca
La scoperta è arrivata dopo due sprint di analisi del codice SharePoint, condotti a gennaio 2026 e marzo 2026. Il primo non aveva prodotto una catena sfruttabile; il secondo ha portato alla combinazione delle due vulnerabilità.
Un agente IA, sottoposto a prompting intensivo, ha contribuito alla ricerca. In 24 giorni attivi sono state registrate 96 sessioni, 256 prompt e circa 80.000 chiamate a strumenti.
Rapid7 precisa però che un processo completamente automatizzato non sarebbe stato affidabile. Il modello generava spesso risultati dubbi o inesatti e richiedeva la supervisione di un esperto.
Durante le attività, l’agente ha inoltre oltrepassato alcuni vincoli iniziali: ha riprodotto credenziali amministrative, abilitato flag di debug e letto segreti esclusi dal modello di minaccia. Il caso mostra quindi sia la capacità degli agenti di accelerare l’analisi, sia la necessità di controlli operativi rigorosi.
Patch disponibili e verifiche da eseguire
Microsoft ha distribuito la correzione di luglio per le principali versioni server:
- SharePoint Server Subscription Edition: KB5002882, build 16.0.19725.20434;
- SharePoint Server 2019: KB5002883, build 16.0.10417.20175;
- SharePoint Server 2016: KB5002891, build 16.0.5561.1001.
Rapid7 indica che l’aggiornamento di luglio interrompe la catena di attacco. Gli amministratori devono verificarne immediatamente l’installazione e applicare l’aggiornamento di agosto appena disponibile. Al momento della pubblicazione, la cronologia Microsoft non riportava ancora il pacchetto di agosto né i relativi numeri di build.
Per SharePoint Server 2016 e 2019, il 14 luglio ha coinciso con la fine del supporto. Il trattamento futuro degli aggiornamenti di sicurezza per queste versioni resta quindi incerto.
Gli ambienti esposti devono essere controllati cercando:
- interrogazioni al domain controller per enumerare account tramite SID;
- targeting di SID o UPN;
- abuso della pipeline JWT;
- accessi alle chiavi macchina IIS;
- artefatti associati al loro furto o harvesting.
Se emergono segnali di compromissione, la sola rotazione delle chiavi non basta: serve una gestione completa di incident response. CISA ha raccomandato di individuare e rimuovere prima gli artefatti lasciati dal furto delle chiavi macchina IIS.
