SharePoint, CISA conferma lo sfruttamento di CVE-2026-45659 da parte dei ransomware

Server SharePoint esposti nel mirino

L’11 agosto 2026 CISA ha confermato che gruppi ransomware stanno sfruttando attivamente CVE-2026-45659, una vulnerabilità di Microsoft SharePoint.

La falla era già stata inserita nel catalogo Known Exploited Vulnerabilities (KEV) il 1° luglio. CISA aveva quindi ordinato alle agenzie federali civili statunitensi di mettere in sicurezza i server entro tre giorni.

Un successivo aggiornamento del catalogo ha precisato che la vulnerabilità viene utilizzata anche da gang ransomware. Microsoft, invece, non ha ancora aggiornato l’avviso di CVE-2026-45659 per indicare lo sfruttamento reale.

Secondo Shadowserver, oltre 8.500 server Microsoft SharePoint risultano esposti online. Più di 200 non sarebbero ancora protetti contro questa vulnerabilità.

Una deserializzazione che porta all’esecuzione di codice

CVE-2026-45659 è una falla ad alta gravità nella deserializzazione di dati non attendibili. Un attaccante con privilegi ridotti può sfruttarla per eseguire codice arbitrario da remoto su un server SharePoint non aggiornato.

L’attacco ha bassa complessità: non richiede una conoscenza approfondita dell’ambiente e il payload può produrre risultati ripetibili sul componente vulnerabile.

Il rischio operativo non riguarda soltanto il singolo servizio SharePoint. Una compromissione iniziale può offrire ai criminali un punto d’accesso per muoversi nella rete, sottrarre dati e distribuire il ransomware.

Prodotti coinvolti e contesto delle campagne

I prodotti indicati come interessati sono:

• Microsoft SharePoint Enterprise Server 2016;
• Microsoft SharePoint Server 2019;
• Microsoft SharePoint Server Subscription Edition.

Nel contesto della protezione e del rilevamento sono inoltre coinvolti Microsoft Defender Antivirus (MDAV) e Windows Antimalware Scan Interface (AMSI).

Dal novembre 2021 CISA ha segnalato 14 vulnerabilità Microsoft SharePoint sfruttate attivamente. Otto di queste risultano impiegate anche in attacchi ransomware.

A giugno CISA aveva inoltre confermato lo sfruttamento ransomware di CVE-2026-33825, una falla ad alta gravità di escalation dei privilegi in Microsoft Defender, conosciuta come BlueHammer. Microsoft non ha confermato lo sfruttamento in-the-wild né di questa vulnerabilità né, finora, di CVE-2026-45659.

Cosa devono fare gli amministratori

Le organizzazioni che gestiscono SharePoint dovrebbero:

1. applicare le patch Microsoft più recenti ai prodotti interessati;
2. verificare che l’installazione degli aggiornamenti sia realmente riuscita;
3. dare priorità ai server esposti direttamente a Internet;
4. abilitare l’integrazione AMSI per le applicazioni web SharePoint;
5. usare le rilevazioni di Microsoft Defender Antivirus per cercare compromissioni;
6. controllare i sistemi alla ricerca di indicatori di sfruttamento;
7. ridurre i tempi dei cicli di applicazione delle patch.

Le versioni esatte delle build vulnerabili e gli indicatori tecnici specifici delle intrusioni non sono stati resi noti. In assenza di ulteriori dettagli, la misura più urgente resta l’aggiornamento dei server SharePoint esposti e la successiva verifica dei log e delle protezioni attive.