الإجاباتمنشور40 المصادر
ثغرة CVE-2026-55040 الخَطِرة في شير بوينت (مايكروسوفت) تُستخدم الآن في هجمات نشطة بعد تسريب كود الاستغلال
CVE 2026 55040 هي ثغرة خطيرة (CVSS 9.1) لتجاوز المصادقة عبر JWT في شير بوينت، تسمح للمهاجم غير الموثوق بتزوير الرموز وانتحال شخصية أي مستخدم بما فيهم المسؤولين. CISA تحث على التصحيح الفوري: تطبيق تحديثات يوليو التراكمية 2026، تجنب التعرض المباشر للإنترنت، منع الوصول الخارجي إلى Central Administration، تفعيل AMSI، تد...
إجابة البحث
الوجبات السريعة الرئيسية
- CVE 2026 55040 هي ثغرة خطيرة (CVSS 9.1) لتجاوز المصادقة عبر JWT في شير بوينت، تسمح للمهاجم غير الموثوق بتزوير الرموز وانتحال شخصية أي مستخدم بما فيهم المسؤولين.
- CISA تحث على التصحيح الفوري: تطبيق تحديثات يوليو التراكمية 2026، تجنب التعرض المباشر للإنترنت، منع الوصول الخارجي إلى Central Administration، تفعيل AMSI، تدوير مفاتيح IIS إذا كان هناك شك في الاختراق.
- هذه الثغرة جزء من موجة هجمات أوسع: ثلاث ثغرات أخرى في شير بوينت (CVE 2026 32201، CVE 2026 45659، CVE 2026 56164) يتم استغلالها بالفعل، وعصابات برامج الفدية تستغل CVE 2026 45659.
موجّه الذكاء الاصطناعي
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the critical SharePoint authentication bypass vulnerability (CVE-2026-55040, CVSS 9.1) that was weaponized by attackers just days af. Article summary: ## CVE-2026-55040 — Critical SharePoint Authentication Bypass. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
في غضون أيام فقط من نشر شركة الأمن السيبراني Rapid7 كود استغلال كامل (PoC) لثغرة خطيرة في خوادم Microsoft SharePoint المحلية، بدأ المهاجمون في استغلالها بنشاط. الثغرة، التي تحمل الاسم CVE-2026-55040 ودرجة خطورة 9.1 على مقياس CVSS، تسمح لمهاجم عن بعد غير موثوق بتزوير رموز JSON Web Tokens (JWTs) وانتحال شخصية أي مستخدم لشير بوينت — بما في ذلك مسؤولي الموقع — دون الحاجة إلى كلمة مرور أو جلسة صالحة .
قامت مايكروسوفت بتصحيح الثغرة في تحديثات Patch Tuesday لشهر يوليو 2026، والتي أثرت على إصدارات SharePoint Server Subscription Edition و 2019 و 2016 Enterprise . ولكن مع بقاء أكثر من 8,500 خادم شير بوينت مكشوفة على الإنترنت وفقًا لمسح واسع النطاق، فإن نافذة الخطر أمام المهاجمين لا تزال مفتوحة على مصراعيها
.
كيف تعمل CVE-2026-55040: فشل في التحقق من صحة JWT
السبب الجذري هو ضعف في آلية المصادقة (CWE-1390) في سلسلة التحقق من JWT الخاصة بشير بوينت. وفقًا لـ Rapid7، التي اكتشفت الثغرة، فإن المشكلة تنبع من عدة نقاط ضعف متميزة في كيفية تحليل الفئتين SPJsonWebSecurityTokenHandlerV2 و SPJsonWebSecurityBaseTokenHandlerV2 لرموز Bearer المخصصة للخدمات . يمكن للمهاجم إرسال رمز JWT مزيف يثق به الخادم دون التحقق التشفيري السليم، مما يسمح له فعليًا بانتحال هوية أي مستخدم لموقع شير بوينت أو مسؤول في المجموعة
.
وصفت مايكروسوفت الثغرة ببساطة: "يمكن تجاوز ميزة المصادقة لأن هذه الثغرة تسمح بانتحال الشخصية" . يسمح الاستغلال للمهاجم بالكشف عن الملفات وتعديل البيانات، لكن مايكروسوفت تذكر أنها لا تؤثر على توفر النظام
.
الكشف والاستغلال: الجدول الزمني
- 14 يوليو 2026: مايكروسوفت و Rapid7 تكشفان عن CVE-2026-55040 وتصدران التصحيحات
.
- 10 أغسطس 2026: Rapid7 تنشر تحليلاً تقنياً مفصلاً للثغرة
.
- 12 أغسطس 2026: Rapid7 تنشر كود استغلال (PoC) كدالة Python
.
- في غضون أيام من 12 أغسطس: المهاجمون يبدأون بتسليح الاستغلال واستخدامه في هجمات على أرض الواقع
.
اكتشف الباحث في Rapid7 ستيفن فيور الثغرة، مشيرًا إلى أنها الأولى في سلسلة من ثغرتين، والتي عند دمجها مع ثغرة ثانية (لا تزال محجوبة)، يمكن أن تحقق تنفيذًا عن بعد للكود دون مصادقة على خوادم شير بوينت الضعيفة .
إرشادات CISA للتخفيف
أصدرت CISA إرشادات عاجلة لتعزيز الأمان في 14-15 يوليو 2026، وحدثتها مع تصاعد الاستغلال . يجب على المؤسسات التي تدير شير بوينت محليًا اتخاذ الإجراءات التالية فورًا:
- تطبيق التحديثات التراكمية لشهر يوليو 2026 على جميع خوادم شير بوينت في المجموعة. تأكد من نجاح التثبيت من خلال SharePoint Products Configuration Wizard أو PowerShell — تحديث Windows وحده لا يضمن الخدمة الكاملة
. تشمل التحديثات المحددة KB 5002891/KB 5002892 لشير بوينت 2016 و KB 5002883 لشير بوينت 2019
.
- لا تعرض خوادم شير بوينت مباشرة للإنترنت. إذا كان الوصول عبر الإنترنت ضروريًا، ضع الخادم خلف وسيط عكسي من الطبقة السابعة (Layer 7 reverse proxy) أو جهاز أمان تطبيقات مكافئ يفرض المصادقة ويفحص الطلبات
.
- امنع الوصول الخارجي إلى SharePoint Central Administration — يجب ألا تكون واجهة الإدارة هذه قابلة للوصول من الإنترنت أبدًا
.
- فعّل وتحقق من تكامل Antimalware Scan Interface (AMSI) لكل تطبيق ويب في شير بوينت
.
- قم بتدوير مفاتيح IIS الخاصة بالآلة إذا كان هناك أي دليل على الاختراق، وقم بتدقيق آثار الاختراق قبل تدوير بيانات الاعتماد المسروقة
.
- إنشاء آليات تسجيل ومراقبة مخصصة لاكتشاف أنماط المصادقة الشاذة، ومراجعة سجلات المصادقة والأذونات للفترة التي سبقت تطبيق التصحيح
.
السياق الأوسع للاستغلال: ثلاث ثغرات أخرى تحت هجوم نشط
CVE-2026-55040 ليست حادثة معزولة. في نفس اليوم الذي تم فيه إصدار التصحيحات، أكدت CISA الاستغلال النشط لـ ثلاث ثغرات أخرى في شير بوينت :
- CVE-2026-32201 (CVSS 6.5) — ثغرة انتحال ناتجة عن التحقق غير السليم من المدخلات، تم استغلالها منذ أبريل 2026 على الأقل
.
- CVE-2026-45659 (CVSS 8.8) — تنفيذ عن بعد للكود عبر إلغاء تسلسل بيانات غير موثوقة. اعتبارًا من 11 أغسطس 2026، أكدت CISA أن عصابات برامج الفدية بدأت في استغلال هذه الثغرة
.
- CVE-2026-56164 (CVSS 5.3، لكن يمكن استغلالها عن بعد دون مصادقة) — ثغرة تصعيد صلاحيات يتم استخدامها في هجمات متسلسلة لسرقة مفاتيح IIS للآلة وتحقيق وصول دائم
.
المهاجمون يربطون هذه الثغرات معًا: استخدام CVE-2026-32201 للوصول الأولي، و CVE-2026-45659 أو CVE-2026-56164 لتنفيذ الكود، و CVE-2026-55040 كمضاعف قوة لتجاوز المصادقة . أطلق بعض الباحثين على حملة الاستغلال المنسقة اسم "سلسلة شير بوينت"
.
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
يسأل الناس أيضا
ما هي الإجابة المختصرة على "ثغرة CVE-2026-55040 الخَطِرة في شير بوينت (مايكروسوفت) تُستخدم الآن في هجمات نشطة بعد تسريب كود الاستغلال"؟
CVE 2026 55040 هي ثغرة خطيرة (CVSS 9.1) لتجاوز المصادقة عبر JWT في شير بوينت، تسمح للمهاجم غير الموثوق بتزوير الرموز وانتحال شخصية أي مستخدم بما فيهم المسؤولين.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
CVE 2026 55040 هي ثغرة خطيرة (CVSS 9.1) لتجاوز المصادقة عبر JWT في شير بوينت، تسمح للمهاجم غير الموثوق بتزوير الرموز وانتحال شخصية أي مستخدم بما فيهم المسؤولين. CISA تحث على التصحيح الفوري: تطبيق تحديثات يوليو التراكمية 2026، تجنب التعرض المباشر للإنترنت، منع الوصول الخارجي إلى Central Administration، تفعيل AMSI، تدوير مفاتيح IIS إذا كان هناك شك في الاختراق.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
هذه الثغرة جزء من موجة هجمات أوسع: ثلاث ثغرات أخرى في شير بوينت (CVE 2026 32201، CVE 2026 45659، CVE 2026 56164) يتم استغلالها بالفعل، وعصابات برامج الفدية تستغل CVE 2026 45659.
المصادر
- cisa.govCISA Urges SharePoint Hardening After New Exploitations
- bleepingcomputer.comHackers leverage new Microsoft SharePoint exploit in attacks
- thehackernews.comAttackers Exploit SharePoint Authentication Bypass After Public PoC ...
- ampcuscyber.com4. Recommendations
- helpnetsecurity.comAttackers exploit critical SharePoint flaw after PoC goes public (CVE ...
- rapid7.comMicrosoft SharePoint JWT Token Authentication Bypass ...
- cybersecuritynews.comHackers Actively Exploiting Microsoft SharePoint Vulnerability ...
- cynet.comCISA Confirms Active Exploitation of Three On-Premises ...
- cve.toolsCVE-2026-55040: SharePoint JWT auth-bypass (9.1) - the quiet chain-enabler
- rapid7.comPatch Tuesday - July 2026 - Rapid7
- cyber.gc.caAL26-017 - Critical vulnerabilities impacting Microsoft SharePoint ...
- neowin.netPatched SharePoint vulnerability now being exploited in the wild, here's why
- securityaffairs.comSharePoint CVE-2026-55040 Comes Under Attack Following Public Exploit
- rapid7.comCVE-2026-55040: Microsoft SharePoint JWT Token Authentication ...
- indusface.comSharePoint RCE Chain: CVE-2026-55040 & CVE-2026-63520
- bleepingcomputer.comCISA warns admins to patch actively exploited SharePoint flaws
- ionix.ioCVE-2026-55040 – Authentication Bypass – Microsoft ...
- sentinelone.comCVE-2026-55040: SharePoint Server Auth Bypass Flaw - SentinelOne
- senserva.comCVE-2026-55040: Microsoft SharePoint Server 2019 ... - Senserva
- mallory.aiMicrosoft SharePoint JWT Authentication Bypass (CVE-2026-55040)
- labs.beazley.securitySharePoint Vulnerabilities Under Active Exploitation, CISA Urges ...
- linkedin.comMicrosoft SharePoint Server CVE Exploits and Security Updates
- networksgroup.comOn-Premises SharePoint Vulnerabilities: Inside the July 2026 ...
- tenable.comSharePoint CVEs FAQ: CVE-2026-56164 ...
- scworld.comCISA warns that three SharePoint Server bugs are actively ...
- tenable.comCVE-2026-32201 | Tenable®
- bleepingcomputer.comCISA: Microsoft SharePoint flaw now exploited in ...
- csoonline.comCISA urges immediate SharePoint hardening as exploits mount
- cybersecuritydive.comCISA warns that multiple vulnerabilities in SharePoint are ...
- torchlight.ioHow the SharePoint Chain Broke on July 14, 2026: CVE- ...
- linkedin.comMicrosoft July 2026 Patch Tuesday Urgent SharePoint and Hyper-V ...
- resecurity.comUnderstanding the July 2026 SharePoint Attacks
- theregister.comCISA sounds alarm over trio of exploited SharePoint flaws
- securityweek.comCISA Urges Immediate Patching of Exploited SharePoint ...
- securityonline.infoCISA: 3 SharePoint Vulnerabilities Exploited in the Wild
- linkedin.comWARNING: Threat Actors Exploit Multiple Microsoft SharePoint Flaws
- thehackernews.comResearchers Disclose AI-Assisted SharePoint Exploit Chain Reaching Unauthenticated RCE
- windowsforum.comCVE-2026-55040: Patch Critical SharePoint Server Auth ...
- securityweek.comSharePoint Vulnerability Exploited Shortly After PoC Release
- linkedin.comHackers Move Quickly To Exploit Critical Microsoft SharePoint Authentication Bypass