SharePoint, CVE-2026-50522 sfruttata: la patch non basta

Il ColCERT, il CSIRT nazionale della Colombia, ha pubblicato l’allerta COLCERT AL-20260804-108 su CVE-2026-50522, una vulnerabilità critica di Microsoft SharePoint Server nelle installazioni on-premises. Secondo l’allerta, la falla è sfruttata attivamente e lo scopo degli attaccanti non è solo entrare nel server, ma restarci: rubano le chiavi crittografiche con cui SharePoint firma i token di sessione e con quelle conservano l’accesso anche dopo l’installazione della patch.

Questo articolo si basa su una sola fonte, l’allerta del ColCERT (datata 4 agosto 2026), che a sua volta cita il bollettino di Microsoft, il catalogo KEV della CISA, il NVD e una segnalazione del Canadian Centre for Cyber Security (CCCS) diffusa nella rete CSIRT Américas: di seguito ogni informazione è attribuita all’ente colombiano.

Cronologia

Secondo il ColCERT:

• 14 luglio 2026: Microsoft corregge la vulnerabilità nell’aggiornamento mensile, con la valutazione «sfruttamento più probabile», ma senza attacchi noti;
• 20 luglio: esce un proof of concept funzionante e, poche ore dopo, le reti di sensori dei ricercatori registrano sfruttamenti riusciti contro server reali;
• 22 luglio: la CISA inserisce la CVE nel catalogo KEV, con scadenza al 25 luglio per le agenzie federali statunitensi;
• 27 luglio: il CCCS segnala la vulnerabilità alla rete CSIRT Américas, con CVSS 9.8 e classificazione SSVC «Act» (intervento immediato).

Dettagli tecnici

• CVE: CVE-2026-50522, CVSS 3.1 9.8 (critica), presente nel catalogo CISA KEV.
• Debolezza: deserializzazione di dati non attendibili (CWE-502), che porta all’esecuzione di codice da remoto.
• Prodotti colpiti: SharePoint Server Subscription Edition, SharePoint Server 2019 e SharePoint Server 2016 Enterprise, con build precedenti a quella del 14 luglio 2026. Solo installazioni on-premises: SharePoint Online e Microsoft 365 non sono colpiti.
• SharePoint 2013 e 2010: fuori supporto. Non compaiono tra i prodotti colpiti perché Microsoft non li valuta più e, ricorda il ColCERT, non riceveranno correzioni per nessuna vulnerabilità.
• Privilegi ottenuti: quelli dell’account di servizio di SharePoint, di solito molto ampi secondo l’allerta.

Autenticazione: le fonti non coincidono

Il ColCERT segnala una discrepanza. Il bollettino di Microsoft descrive un attacco di rete da parte di un utente autenticato almeno come Site Owner. Il punteggio 9.8, però, si raggiunge solo con un vettore che non richiede privilegi; parte della copertura tecnica parla di sfruttamento senza autenticazione e, secondo le analisi del traffico pubblicate da ricercatori indipendenti, le richieste d’attacco catturate non contengono alcuna credenziale. La conclusione dell’ente: trattare la vulnerabilità come sfruttabile senza autenticazione e correggerla subito.

La catena d’attacco

La sequenza descritta dal ColCERT:

1. l’attaccante cerca su Internet server SharePoint raggiungibili, senza bisogno di conoscere l’organizzazione;
2. invia una sola richiesta HTTP con dati serializzati manipolati, senza credenziali, phishing o interazione degli utenti;
3. il server deserializza i dati ed esegue i comandi dell’attaccante;
4. con una richiesta l’attaccante estrae le chiavi macchina di IIS, che firmano e convalidano i token di sessione;
5. con quelle chiavi fabbrica token validi, anche da amministratore, senza dover sfruttare di nuovo la falla;
6. dal server compromesso installa pagine .aspx malevole, esegue comandi, si sposta verso altri sistemi ed esfiltra i documenti.

Le tecniche MITRE ATT&CK indicate nell’allerta sono T1190 (Exploit Public-Facing Application), T1552.004 (Unsecured Credentials: Private Keys), T1606 (Forge Web Credentials), T1505.003 (Web Shell) e T1059 (Command and Scripting Interpreter, con interpreti avviati come processi figli di w3wp.exe).

L’allerta ricorda anche che tra aprile e luglio 2026 la CISA ha segnalato lo sfruttamento di altre vulnerabilità di SharePoint Server (CVE-2026-32201, CVE-2026-45659, CVE-2026-56164, CVE-2026-58644) e che in diversi casi l’attività successiva è stata proprio il furto delle chiavi macchina. Per il ColCERT, chi espone SharePoint on-premises deve controllare lo stato di aggiornamento completo del prodotto, non solo questa CVE, e chiedersi se l’esposizione su Internet serve davvero.

Perché la patch da sola non basta

L’aggiornamento chiude la via d’ingresso, ma non invalida le chiavi già rubate: chi le possiede continua a generare token che il server accetta. Per questo il ColCERT indica due passaggi, entrambi necessari: prima la patch, poi la rotazione delle chiavi macchina e il riavvio di IIS su tutti i server della farm. Senza il secondo passaggio un attaccante già entrato mantiene l’accesso, mentre l’organizzazione crede di aver chiuso il problema.

Impatto per le aziende europee e italiane

L’allerta è colombiana, ma la vulnerabilità riguarda qualsiasi organizzazione con SharePoint on-premises raggiungibile da Internet. Il ColCERT elenca tra i settori interessati pubblica amministrazione, finanza, sanità, istruzione, industria, trasporti e IT, e tra le conseguenze possibili l’accesso ai documenti, il furto di credenziali e token, backdoor persistenti, movimento laterale e ransomware.

Per i soggetti NIS2 il caso riguarda la gestione delle vulnerabilità sfruttate e la verifica di compromissione: un incidente significativo va valutato ai fini della notifica allo CSIRT Italia dell’ACN. Se il server conteneva dati personali, una compromissione va valutata anche come violazione ai sensi del GDPR. Nella sanità, dove le piattaforme documentali raccolgono spesso pratiche e dati dei pazienti, il controllo dell’integrità del server non è un passaggio facoltativo.

Cosa fare subito

Le raccomandazioni del ColCERT:

1. Verifica la build di ogni server della farm con Get-SPFarm | Select-Object BuildVersion o da Amministrazione centrale, non dall’intestazione del server web, che secondo l’allerta è solo approssimativa.
2. Installa l’aggiornamento cumulativo di luglio 2026 su tutti i server della farm, a partire da quelli esposti su Internet.
3. Ruota le chiavi macchina e riavvia IIS su ogni server dopo la patch.
4. Cerca indicatori di compromissione: richieste POST a /_trust/default.aspx con corpi serializzati di grandi dimensioni, file .aspx non autorizzati creati dal 20 luglio, processi figli anomali di w3wp.exe, sessioni che restano valide dopo la rotazione delle chiavi.
5. Conserva le prove prima di ripulire: log di IIS, registri eventi di Windows e un’immagine del file system.
6. Togli da Internet i server che non devono essere pubblicati, o pubblicali solo tramite VPN o reverse proxy con autenticazione, e separa i server SharePoint dal resto della rete.
7. Attiva l’integrazione AMSI su SharePoint 2016 e 2019.
8. Pianifica la migrazione di SharePoint 2013 e 2010; nel frattempo WAF, liste di indirizzi consentiti e accesso solo via VPN.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet e quali hanno vulnerabilità note, così sai se un server SharePoint è raggiungibile da fuori. ARX Shield elenca le vulnerabilità aperte per macchina, con quelle già sfruttate in evidenza, e permette di isolare dalla rete un server sospetto. ARX Sentry raccoglie gli eventi di sicurezza dei server, comprese le esecuzioni sospette, e controlla l’integrità dei file nelle cartelle stabilite, utile per notare nuove pagine .aspx; con ARX Trace gli analisti avviano raccolte e ricerche su tutti i server della farm.

Ultimo aggiornamento: 9 ottobre 2026