SharePoint, CVE-2026-50522 exploatată: patch-ul nu ajunge

ColCERT, CSIRT-ul național al Columbiei, a publicat alerta COLCERT AL-20260804-108 despre CVE-2026-50522, o vulnerabilitate critică din Microsoft SharePoint Server, în instalările on-premises. Potrivit alertei, vulnerabilitatea este exploatată activ, iar scopul atacatorilor nu este doar să intre în server, ci să rămână acolo: fură cheile criptografice cu care SharePoint semnează token-urile de sesiune și, cu ele, își păstrează accesul chiar și după instalarea patch-ului.

Acest articol se bazează pe o singură sursă, alerta ColCERT (datată 4 august 2026), care la rândul ei citează buletinul Microsoft, catalogul KEV al CISA, NVD și o semnalare a Canadian Centre for Cyber Security (CCCS) distribuită în rețeaua CSIRT Americas: în continuare, fiecare informație este atribuită instituției columbiene.

Cronologie

Potrivit ColCERT:

• 14 iulie 2026: Microsoft corectează vulnerabilitatea în actualizarea lunară, cu evaluarea „exploatare mai probabilă”, dar fără atacuri cunoscute;
• 20 iulie: apare un proof of concept funcțional, iar câteva ore mai târziu rețelele de senzori ale cercetătorilor înregistrează exploatări reușite împotriva unor servere reale;
• 22 iulie: CISA adaugă CVE-ul în catalogul KEV, cu termen 25 iulie pentru agențiile federale americane;
• 27 iulie: CCCS semnalează vulnerabilitatea rețelei CSIRT Americas, cu CVSS 9.8 și clasificarea SSVC „Act” (intervenție imediată).

Detalii tehnice

• CVE: CVE-2026-50522, CVSS 3.1 9.8 (critică), inclusă în catalogul CISA KEV.
• Slăbiciune: deserializarea unor date nesigure (CWE-502), care duce la executarea de cod de la distanță.
• Produse afectate: SharePoint Server Subscription Edition, SharePoint Server 2019 și SharePoint Server 2016 Enterprise, cu build-uri anterioare celui din 14 iulie 2026. Doar instalările on-premises: SharePoint Online și Microsoft 365 nu sunt afectate.
• SharePoint 2013 și 2010: fără suport. Nu apar printre produsele afectate pentru că Microsoft nu le mai evaluează și, amintește ColCERT, nu vor primi corecturi pentru nicio vulnerabilitate.
• Privilegii obținute: cele ale contului de serviciu SharePoint, de obicei foarte largi, potrivit alertei.

Autentificare: sursele nu coincid

ColCERT semnalează o discrepanță. Buletinul Microsoft descrie un atac prin rețea din partea unui utilizator autentificat cel puțin ca Site Owner. Scorul 9.8 se poate obține însă doar cu un vector care nu cere privilegii; o parte din analizele tehnice descriu vulnerabilitatea ca exploatabilă fără autentificare, iar potrivit analizelor de trafic publicate de cercetători independenți, cererile de atac capturate nu conțin nicio credențială. Concluzia instituției: vulnerabilitatea trebuie tratată ca exploatabilă fără autentificare și corectată imediat.

Lanțul de atac

Secvența descrisă de ColCERT:

1. atacatorul caută pe Internet servere SharePoint accesibile, fără să aibă nevoie să cunoască organizația;
2. trimite o singură cerere HTTP cu date serializate manipulate, fără credențiale, phishing sau interacțiunea utilizatorilor;
3. serverul deserializează datele și execută comenzile atacatorului;
4. cu o singură cerere, atacatorul extrage cheile mașină IIS, care semnează și validează token-urile de sesiune;
5. cu aceste chei fabrică token-uri valide, inclusiv de administrator, fără să mai exploateze vulnerabilitatea;
6. de pe serverul compromis instalează pagini .aspx malițioase, execută comenzi, se deplasează spre alte sisteme și exfiltrează documente.

Tehnicile MITRE ATT&CK indicate în alertă sunt T1190 (Exploit Public-Facing Application), T1552.004 (Unsecured Credentials: Private Keys), T1606 (Forge Web Credentials), T1505.003 (Web Shell) și T1059 (Command and Scripting Interpreter, cu interpretoare lansate ca procese copil ale w3wp.exe).

Alerta amintește și că, între aprilie și iulie 2026, CISA a semnalat exploatarea altor vulnerabilități din SharePoint Server (CVE-2026-32201, CVE-2026-45659, CVE-2026-56164, CVE-2026-58644) și că, în mai multe cazuri, activitatea ulterioară a fost tocmai furtul cheilor mașină. Pentru ColCERT, cine expune SharePoint on-premises trebuie să verifice starea completă a actualizărilor produsului, nu doar acest CVE, și să se întrebe dacă expunerea pe Internet este cu adevărat necesară.

De ce patch-ul singur nu ajunge

Actualizarea închide calea de intrare, dar nu invalidează cheile deja furate: cine le are continuă să genereze token-uri pe care serverul le acceptă. De aceea ColCERT indică doi pași, amândoi necesari: mai întâi patch-ul, apoi rotirea cheilor mașină și repornirea IIS pe toate serverele din fermă. Fără al doilea pas, un atacator deja intrat își păstrează accesul, în timp ce organizația crede că a închis problema.

Impactul pentru companiile europene și italiene

Alerta este columbiană, dar vulnerabilitatea privește orice organizație care are SharePoint on-premises accesibil de pe Internet. ColCERT enumeră printre sectoarele vizate administrația publică, finanțele, sănătatea, educația, industria, transporturile și IT-ul, iar printre consecințele posibile accesul la documente, furtul de credențiale și token-uri, backdoor-uri persistente, mișcarea laterală și ransomware-ul.

Pentru entitățile NIS2, cazul ține de gestionarea vulnerabilităților exploatate și de verificarea compromiterii: un incident semnificativ trebuie evaluat în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN). Dacă serverul conținea date personale, o compromitere trebuie evaluată și ca încălcare a securității datelor conform GDPR. În sănătate, unde platformele de documente păstrează adesea dosare și date ale pacienților, verificarea integrității serverului nu este un pas opțional.

Ce să faci imediat

Recomandările ColCERT:

1. Verifică build-ul fiecărui server din fermă cu Get-SPFarm | Select-Object BuildVersion sau din Central Administration, nu din antetul serverului web, care, potrivit alertei, este doar aproximativ.
2. Instalează actualizarea cumulativă din iulie 2026 pe toate serverele din fermă, începând cu cele expuse pe Internet.
3. Rotește cheile mașină și repornește IIS pe fiecare server după patch.
4. Caută indicatori de compromitere: cereri POST către /_trust/default.aspx cu conținut serializat de dimensiuni mari, fișiere .aspx neautorizate create după 20 iulie, procese copil anormale ale w3wp.exe, sesiuni care rămân valide după rotirea cheilor.
5. Păstrează dovezile înainte de curățare: jurnalele IIS, jurnalele de evenimente Windows și o imagine a sistemului de fișiere.
6. Scoate de pe Internet serverele care nu trebuie publicate, sau publică-le doar prin VPN ori printr-un reverse proxy cu autentificare, și separă serverele SharePoint de restul rețelei.
7. Activează integrarea AMSI pe SharePoint 2016 și 2019.
8. Planifică migrarea SharePoint 2013 și 2010; între timp, WAF, liste de adrese permise și acces doar prin VPN.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet și care au vulnerabilități cunoscute, ca să știi dacă un server SharePoint este accesibil din exterior. ARX Shield listează vulnerabilitățile deschise pentru fiecare mașină, cu cele deja exploatate evidențiate, și îți permite să izolezi de rețea un server suspect. ARX Sentry colectează evenimentele de securitate ale serverelor, inclusiv execuțiile suspecte, și verifică integritatea fișierelor în folderele stabilite, util pentru a observa pagini .aspx noi; cu ARX Trace, analiștii lansează colectări și căutări pe toate serverele din fermă.

Ultima actualizare: 9 octombrie 2026