Kritická chyba CVE-2026-55040 v SharePointu: Útočníci aktivně zneužívají obcházení JWT autentizace

Jak CVE-2026-55040 funguje: Selhání validace JWT

Hlavní příčinou je slabá autentizace (CWE-1390) v pipeline validace JWT v SharePointu. Podle Rapid7, která chybu objevila, zranitelnost pramení z několika odlišných slabin v tom, jak třídy SPJsonWebSecurityTokenHandlerV2 a SPJsonWebSecurityBaseTokenHandlerV2 parsují Bearer tokeny určené pro komunikaci mezi službami . Útočník může odeslat upravený JWT, kterému server důvěřuje bez řádného kryptografického ověření, čímž se efektivně může vydávat za jakéhokoli uživatele SharePointu nebo administrátora farmy .

Microsoft popsal chybu jednoduše: "Autentizační funkce by mohla být obcházena, protože tato zranitelnost umožňuje vydávání se za jiného uživatele" . Zneužití umožňuje útočníkovi zveřejňovat soubory a upravovat data, ale Microsoft uvádí, že nemůže ovlivnit dostupnost systému .

Časová osa zveřejnění a weaponizace

• 14. července 2026: Microsoft a Rapid7 zveřejňují CVE-2026-55040 a vydávají záplaty .
• 10. srpna 2026: Rapid7 publikuje podrobnou technickou analýzu zranitelnosti .
• 12. srpna 2026: Rapid7 vydává veřejný PoC exploit jako Python skript .
• Během několika dní po 12. srpnu: Útočníci začínají aktivně weaponizovat exploit v praxi .

Výzkumník Rapid7 Stephen Fewer chybu objevil a poznamenal, že je první v řetězci dvou zranitelností, který po spojení s druhou (dosud embargoovanou) chybou může dosáhnout neautentizovaného vzdáleného spuštění kódu proti zranitelným SharePoint serverům .

Pokyny CISA pro zmírnění rizik

CISA vydala naléhavé pokyny pro zabezpečení 14.–15. července 2026 a aktualizovala je s eskalací zneužívání . Organizace provozující on-premises SharePoint by měly okamžitě podniknout následující kroky:

• Aplikujte kumulativní aktualizace z července 2026 na všechny SharePoint servery ve farmě. Ověřte úspěšnou instalaci pomocí SharePoint Products Configuration Wizard nebo PowerShellu – samotná Windows Update nezaručuje plné ošetření . Konkrétní aktualizace zahrnují KB 5002891/KB 5002892 pro SharePoint 2016 a KB 5002883 pro SharePoint 2019 .
• Nevystavujte SharePoint servery přímo internetu. Pokud je přístup z internetu vyžadován, umístěte server za Layer 7 reverzní proxy nebo ekvivalentní bezpečnostní zařízení na aplikační vrstvě, které vynucuje autentizaci a kontroluje požadavky .
• Zablokujte externí přístup k SharePoint Central Administration – toto administrativní rozhraní by nikdy nemělo být dosažitelné z internetu .
• Povolte a ověřte integraci Antimalware Scan Interface (AMSI) pro každou webovou aplikaci SharePointu .
• Proveďte rotaci IIS strojových klíčů, pokud existuje jakýkoli náznak kompromitace, a auditujte stopy po průniku před rotací ukradených přihlašovacích údajů .
• Zaveďte přizpůsobené logování a monitorování pro detekci anomálních autentizačních vzorců a přezkoumejte autentizační a oprávňovací logy za období předcházející nasazení záplaty .

Širší kontext zneužívání: Další tři CVE pod aktivním útokem

CVE-2026-55040 není izolovaný incident. Ve stejný den, kdy byly vydány záplaty, CISA potvrdila aktivní zneužívání tří dalších CVE SharePointu :

• CVE-2026-32201 (CVSS 6,5) – Chyba spoofingu způsobená nesprávnou validací vstupu, zneužívaná přinejmenším od dubna 2026 .
• CVE-2026-45659 (CVSS 8,8) – Vzdálené spuštění kódu prostřednictvím deserializace nedůvěryhodných dat. K 11. srpnu 2026 CISA potvrdila, že ransomwarové gangy začaly tuto chybu zneužívat .
• CVE-2026-56164 (CVSS 5,3, ale zneužitelná vzdáleně bez autentizace) – Chyba eskalace oprávnění, která je aktivně řetězena v útocích za účelem krádeže IIS strojových klíčů a dosažení trvalého přístupu .

Útočníci tyto zranitelnosti řetězí: používají CVE-2026-32201 pro počáteční přístup, CVE-2026-45659 nebo CVE-2026-56164 pro spuštění kódu a CVE-2026-55040 jako násobič síly pro obcházení autentizace . Koordinovaná kampaň zneužívání byla některými výzkumníky nazvána "SharePoint chain" .