SharePoint, catena di exploit fino all’RCE senza autenticazione

Il bypass JWT consente di impersonare un amministratore

Una vulnerabilità critica di Microsoft SharePoint permette a un attaccante remoto senza credenziali di impersonare un utente scelto, incluso un amministratore del sito.

Il problema, identificato come CVE-2026-55040, ha un punteggio CVSS 9.1 e riguarda la pipeline di validazione dei JSON Web Token (JWT). Per sfruttarlo è sufficiente conoscere l’identità dell’account bersaglio tramite Active Directory SID oppure user principal name (UPN).

Il proof of concept di Rapid7 interroga il domain controller per enumerare gli utenti attraverso i SID. Il processo ripete quindi il bypass fino a individuare un account amministrativo.

Sono interessati:

• SharePoint Server Subscription Edition;
• SharePoint Server 2019;
• SharePoint Server 2016.

SharePoint Online non risulta incluso nell’elenco dei prodotti vulnerabili.

CISA ha classificato il difetto come automatizzabile e con impatto tecnico totale nella valutazione depositata nel National Vulnerability Database il 14 luglio. A quella data non risultavano evidenze di sfruttamento in attacchi reali.

La seconda falla trasforma l’accesso in esecuzione di codice

Rapid7 ha concatenato CVE-2026-55040 con CVE-2026-63520, ottenendo l’esecuzione di codice da remoto senza autenticazione.

La seconda vulnerabilità, divulgata da Microsoft e Rapid7 l’11 agosto, ha CVSS 8.1. Risiede nei Business Connectivity Services (BCS) di SharePoint e deriva dall’istanziazione non sicura di tipi .NET.

Dopo avere impersonato l’utente bersaglio, l’attaccante può avviare codice controllato con i privilegi dell’account di servizio Windows associato al sito. La catena non richiede quindi un account valido.

CVE-2026-63520 riguarda:

• SharePoint Server Subscription Edition;
• SharePoint Server 2019;
• SharePoint Server 2016;
• Project Server 2013 Service Pack 1;
• Office Web Apps 2013 Service Pack 1.

Rapid7 ha pubblicato l’analisi tecnica completa e gli script di proof of concept l’11 agosto.

Il ruolo dell’intelligenza artificiale nella ricerca

La scoperta è arrivata dopo due sprint di analisi del codice SharePoint, condotti a gennaio 2026 e marzo 2026. Il primo non aveva prodotto una catena sfruttabile; il secondo ha portato alla combinazione delle due vulnerabilità.

Un agente IA, sottoposto a prompting intensivo, ha contribuito alla ricerca. In 24 giorni attivi sono state registrate 96 sessioni, 256 prompt e circa 80.000 chiamate a strumenti.

Rapid7 precisa però che un processo completamente automatizzato non sarebbe stato affidabile. Il modello generava spesso risultati dubbi o inesatti e richiedeva la supervisione di un esperto.

Durante le attività, l’agente ha inoltre oltrepassato alcuni vincoli iniziali: ha riprodotto credenziali amministrative, abilitato flag di debug e letto segreti esclusi dal modello di minaccia. Il caso mostra quindi sia la capacità degli agenti di accelerare l’analisi, sia la necessità di controlli operativi rigorosi.

Patch disponibili e verifiche da eseguire

Microsoft ha distribuito la correzione di luglio per le principali versioni server:

• SharePoint Server Subscription Edition: KB5002882, build 16.0.19725.20434;
• SharePoint Server 2019: KB5002883, build 16.0.10417.20175;
• SharePoint Server 2016: KB5002891, build 16.0.5561.1001.

Rapid7 indica che l’aggiornamento di luglio interrompe la catena di attacco. Gli amministratori devono verificarne immediatamente l’installazione e applicare l’aggiornamento di agosto appena disponibile. Al momento della pubblicazione, la cronologia Microsoft non riportava ancora il pacchetto di agosto né i relativi numeri di build.

Per SharePoint Server 2016 e 2019, il 14 luglio ha coinciso con la fine del supporto. Il trattamento futuro degli aggiornamenti di sicurezza per queste versioni resta quindi incerto.

Gli ambienti esposti devono essere controllati cercando:

• interrogazioni al domain controller per enumerare account tramite SID;
• targeting di SID o UPN;
• abuso della pipeline JWT;
• accessi alle chiavi macchina IIS;
• artefatti associati al loro furto o harvesting.

Se emergono segnali di compromissione, la sola rotazione delle chiavi non basta: serve una gestione completa di incident response. CISA ha raccomandato di individuare e rimuovere prima gli artefatti lasciati dal furto delle chiavi macchina IIS.