SharePoint, il PoC di una falla critica è già usato negli attacchi

CVE-2026-55040 consente di impersonare utenti e amministratori

Il 12 agosto 2026 alle 08:25, Rapid7 ha pubblicato un’analisi tecnica con un exploit proof-of-concept per CVE-2026-55040. La vulnerabilità interessa Microsoft SharePoint Enterprise Server 2016 e Microsoft SharePoint Server 2019.

La falla è classificata come critica e riguarda il bypass dell’autenticazione nella pipeline che valida i token JWT. Un attaccante remoto privo di privilegi può impersonare utenti o amministratori di un sito SharePoint, eseguendo operazioni con le autorizzazioni dell’identità contraffatta.

L’attacco può quindi portare alla lettura di file, alla modifica dei dati e alla perdita di riservatezza e integrità. Non consente invece di compromettere la disponibilità del sistema.

Il codice di Rapid7 è stato osservato contro honeypot

Defused ha rilevato l’impiego del codice di Rapid7, modificato per l’uso operativo, contro propri honeypot SharePoint. L’osservazione indica che il PoC non è rimasto confinato alla ricerca, anche se non è noto quanto siano estese le campagne in corso.

Microsoft aveva corretto CVE-2026-55040 negli aggiornamenti Patch Tuesday di luglio 2026 e raccomanda di applicare le correzioni ai sistemi interessati. Prima dell’osservazione di Defused, l’azienda considerava la vulnerabilità un obiettivo interessante, ma non l’aveva classificata come sfruttata con successo “in the wild”.

Shadowserver rileva oltre 8.500 server Microsoft SharePoint esposti online. Non è noto quanti siano già aggiornati o quanti corrispondano a honeypot.

Le misure consigliate per ridurre l’esposizione

Gli amministratori dovrebbero installare gli aggiornamenti Microsoft di luglio 2026 e verificare che le istanze SharePoint non raggiungibili dall’esterno non siano pubblicate direttamente su Internet.

CISA ha inoltre raccomandato di:

• bloccare l’accesso esterno a SharePoint Central Administration;
• seguire le linee guida Microsoft per il security hardening;
• limitare le comunicazioni tra farm SharePoint e database ai soli sistemi necessari;
• collocare i server esposti dietro un reverse proxy Layer 7 o un controllo equivalente a livello applicativo.

I team di sicurezza dovrebbero cercare accessi anomali, attività eseguite con privilegi amministrativi e modifiche inattese a file o dati SharePoint. Non sono stati indicati specifici indicatori di compromissione.

Un problema inserito in una serie di attacchi a SharePoint

La superficie d’attacco resta sotto pressione. Dal novembre 2021, CISA ha segnalato 14 vulnerabilità Microsoft SharePoint sfruttate attivamente; otto sono state impiegate anche in attacchi ransomware.

La fonte segnala inoltre campagne ransomware che sfruttano CVE-2026-45659, una vulnerabilità SharePoint distinta, classificata ad alta gravità e sfruttata dall’inizio di luglio 2026. Non va quindi confusa con CVE-2026-55040.