ثغرة CVE-2026-55040: تجاوز المصادقة في SharePoint يُستخدم في هجمات فعلية

CVE-2026-55040 — أخطر نقطة دخول إلى SharePoint في عام 2026

ثغرة أمنية خطيرة في تجاوز المصادقة في خادم Microsoft SharePoint، والتي تُعرف بـ CVE-2026-55040 (درجة خطورة CVSS: 9.1)، يتم الآن استغلالها بنشاط في هجمات إلكترونية بعد أن نشرت شركة الأمن السيبراني Rapid7 كود إثبات المفهوم (PoC) الكامل للاستغلال. تسمح هذه الثغرة لمهاجم عن بُعد وغير موثوق بتزوير رمز JWT صالح وانتحال هوية أي مستخدم في SharePoint، بما في ذلك مسؤول الخادم، دون الحاجة إلى أي بيانات اعتماد .

اكتشف الباحث Stephen Fewer من Rapid7 هذه الثغرة وتم الكشف عنها بالاشتراك مع Microsoft في 14 يوليو 2026 . بعد أن نشرت Rapid7 كود الإثبات في 10 أغسطس، قام المهاجمون بتسليحها واستهداف الأنظمة الحية في غضون أيام .

إصدارات SharePoint المتأثرة

جميع إصدارات SharePoint المحلية المدعومة حاليًا معرضة للخطر:

• SharePoint Server 2016
• SharePoint Server 2019
• SharePoint Server Subscription Edition

إصدار SharePoint Online (Microsoft 365) غير متأثر. الثغرة لا تؤثر على البيئات السحابية .

كيف تعمل الثغرة

تُصنف CVE-2026-55040 ضمن CWE-1390: ضعف المصادقة، وتوجد في آلية التحقق من صحة رموز JWT في SharePoint . وصف فريق Rapid7 السبب الجذري بأنه "سلسلة من أربع نقاط ضعف متميزة" في منطق التحقق من الرمز . يمكن لمهاجم لديه إمكانية الوصول إلى الشبكة لخادم معرض للخطر تقديم رمز JWT مزيف يقبله الخادم على أنه صالح، مما يسمح له بانتحال هوية أي مستخدم معروف للموقع .

إذا تمكن المهاجم من تحديد حساب يتمتع بصلاحيات إدارية — من خلال اسم المستخدم في Active Directory أو البريد الإلكتروني — فإنه يحصل على صلاحيات إدارية كاملة لخادم SharePoint . من هذا الموقع، يمكن دمج الثغرة مع ثغرة أخرى منفصلة غير مصححة لتنفيذ تعليمات برمجية عن بُعد (RCE) بالكامل .

استجابة Microsoft

قامت Microsoft بإصدار تصحيح لثغرة CVE-2026-55040 في تحديثات Patch Tuesday لشهر يوليو 2026، التي تم إصدارها في 14 يوليو 2026 . وجاء في نشرة الشركة التحذيرية: "يمكن تجاوز ميزة المصادقة لأن هذه الثغرة تسمح بانتحال الشخصية. يمكن أن يؤدي استغلال هذه الثغرة إلى تجاوز المصادقة."

قيمت Microsoft الثغرة بأنها تسمح للمهاجم بـ "الكشف عن الملفات وتعديل البيانات، لكن المهاجم لا يمكنه التأثير على توفر النظام" .

تحذير CISA والتوجيهات المحدثة

حث تنبيه CISA الصادر في 14 يوليو 2026 (AA26-196A) على التحصين الفوري لـ SharePoint. في ذلك الوقت، أكدت CISA الاستغلال النشط لثلاث ثغرات أخرى في SharePoint — CVE-2026-32201 وCVE-2026-45659 وCVE-2026-56164 — وأدرجت CVE-2026-55040 كإعلان جديد لم يُعرف بعد استغلاله . بعد إصدار Rapid7 لكود الإثبات، تبع ذلك استغلال نشط بسرعة، ويدرج الآن كتالوج الثغرات المستغلة المعروفة (KEV) التابع لـ CISA ثغرة CVE-2026-55040 .

كما أصدر المركز الكندي للأمن السيبراني نشرة AL26-017، مضيفًا CVE-2026-55040 إلى قائمة ثغرات SharePoint ذات التأثير الحرج .

التخفيف: لا حلول بديلة — التحديث فورًا

التخفيف الوحيد الفعال هو تطبيق تحديثات Patch Tuesday لشهر يوليو 2026 على الفور. لا يوجد حل بديل أو تغيير في التكوين يمكنه منع هذه الثغرة بدون التصحيح .

تشمل توصيات التحصين الإضافية من Microsoft وCISA ما يلي:

• تقييد الوصول إلى الشبكة لخوادم SharePoint
• تدقيق الأنظمة بحثًا عن علامات نشاط ما بعد الاستغلال
• مراقبة استخدام رموز JWT غير المصرح بها

سياق أوسع: موجة استغلال SharePoint في 2026

ليست ثغرة CVE-2026-55040 حادثة منعزلة. خلال عام 2026، استغل المهاجمون ثغرات SharePoint المتعددة في حملات منسقة — باستخدام ناقل وصول أولي مثل CVE-2026-55040 للحصول على موطئ قدم، ثم الانتقال إلى رفع الامتيازات أو تنفيذ التعليمات البرمجية عن بُعد لنشر برامج الفدية أو التحرك جانبيًا عبر المؤسسة . حذرت CISA من أن عصابات برامج الفدية تسيء الآن استخدام هذه الثغرات .

تمت إضافة الثغرات التالية إلى كتالوج CISA للثغرات المستغلة المعروفة في عام 2026:

CVE	النوع	CVSS	تاريخ الإضافة إلى KEV
CVE-2026-32201	وصول غير مصرح به	عالية	14 أبريل 2026
CVE-2026-45659	إلغاء تسلسل RCE	عالية	1 يوليو 2026 (استُخدمت لاحقًا في برامج الفدية)
CVE-2026-56164	رفع امتيازات (مصادقة مفقودة)	5.3	14 يوليو 2026
CVE-2026-50522	RCE (موثوق)	9.8	22 يوليو 2026
CVE-2026-58644	إلغاء تسلسل RCE	9.8	23 يوليو 2026
CVE-2026-55040	تجاوز مصادقة JWT	9.1	أغسطس 2026

المصادر:

الخلاصة الرئيسية: تمثل CVE-2026-55040 أخطر نقطة دخول في هذه السلسلة لأنها لا تتطلب أي مصادقة أو تفاعل من المستخدم. وبالاقتران مع الثغرات الأخرى المستغلة، فإن أي خادم SharePoint محلي غير مصحح يُعد هدفًا جذابًا. يُعد تطبيق تحديثات يوليو 2026 الإجراء الدفاعي الأكثر أهمية الذي يمكن لأي مؤسسة اتخاذه.