Microsoft lukkede hullet i sin Patch Tuesday-opdatering fra den 14. juli 2026, og sårbarheden påvirker SharePoint Server Subscription Edition, 2019 og 2016 Enterprise . Men med over 8.500 SharePoint-servere, der ifølge internetdækkende scanninger stadig er eksponeret online, er mulighedsvinduet for angriberne stadig vidt åbent .

Sådan fungerer CVE-2026-55040: En JWT-valideringsfejl

Grundårsagen er en svag autentificeringsfejl (CWE-1390) i SharePoints JWT-valideringspipeline. Ifølge Rapid7, der opdagede fejlen, stammer sårbarheden fra flere forskellige svagheder i, hvordan SharePoints SPJsonWebSecurityTokenHandlerV2- og SPJsonWebSecurityBaseTokenHandlerV2-klasser parser Bearer service-til-service-tokens . En angriber kan sende et manipuleret JWT, som serveren stoler på uden korrekt kryptografisk verifikation, hvilket reelt giver dem mulighed for at påtage sig identiteten af en hvilken som helst SharePoint-bruger eller farm-administrator .

Microsoft beskrev fejlen kort og godt: "Autentificeringsfunktionen kunne omgås, da denne sårbarhed muliggør personificering" . Udnyttelse gør det muligt for en angriber at få adgang til filer og ændre data, men Microsoft oplyser, at det ikke kan påvirke systemets tilgængelighed .

Offentliggørelse og bevæbningstidslinje

• 14. juli 2026: Microsoft og Rapid7 offentliggør CVE-2026-55040 og udsender rettelser .
• 10. august 2026: Rapid7 offentliggør en detaljeret teknisk analyse af sårbarheden .
• 12. august 2026: Rapid7 frigiver en offentlig PoC-udnyttelse som et Python-script .
• Inden for få dage efter 12. august: Angribere begynder aktivt at bruge udnyttelsen i det fri .

Rapid7-forskeren Stephen Fewer opdagede fejlen og bemærkede, at den er den første i en kæde af to sårbarheder, der, når de kombineres med en anden (endnu ikke-offentliggjort) fejl, kan opnå uautentificeret fjernudførelse af kode mod sårbare SharePoint-servere .

CISAs afhjælpningsvejledning

CISA udsendte hastevejledning om hærdning den 14.-15. juli 2026 og opdaterede den, efterhånden som udnyttelsen eskalerede . Organisationer, der kører SharePoint på stedet, bør straks træffe følgende foranstaltninger:

• Installér juli 2026-kumulative opdateringer på alle SharePoint-servere i farmen. Bekræft successfuld installation via SharePoint Products Configuration Wizard eller PowerShell – en Windows Update alene garanterer ikke fuld service . Specifikke opdateringer inkluderer KB 5002891/KB 5002892 til SharePoint 2016 og KB 5002883 til SharePoint 2019 .
• Udsæt ikke SharePoint-servere direkte for internettet. Hvis internetadgang er nødvendig, placeres serveren bag en Layer 7-reverse-proxy eller tilsvarende sikkerhedsappliance, der håndhæver autentificering og inspicerer forespørgsler .
• Bloker ekstern adgang til SharePoint Central Administration – denne administrative grænseflade bør aldrig være tilgængelig fra internettet .
• Aktivér og verificer Antimalware Scan Interface-integration (AMSI) for hvert SharePoint-webprogram .
• Roter IIS-maskinnøgler, hvis der er tegn på kompromittering, og revider for indtrængningsartefakter før rotation af stjålne legitimationsoplysninger .
• Etabler skræddersyet logning og overvågning for at opdage unormale autentificeringsmønstre, og gennemgå autentificerings- og tilladelseslogs for perioden forud for patch-installation .

Bredere udnyttelseskontekst: Tre andre CVE'er under aktivt angreb

CVE-2026-55040 er ikke en isoleret hændelse. Samme dag, som rettelserne blev sendt ud, bekræftede CISA aktiv udnyttelse af tre yderligere SharePoint-CVE'er :

• CVE-2026-32201 (CVSS 6,5) – En forfalskningssårbarhed som følge af forkert inputvalidering, udnyttet siden mindst april 2026 .
• CVE-2026-45659 (CVSS 8,8) – Fjernudførelse af kode via deserialisering af upålidelige data. Pr. 11. august 2026 bekræftede CISA, at ransomware-bander er begyndt at misbruge denne fejl .
• CVE-2026-56164 (CVSS 5,3, men kan udnyttes eksternt uden autentificering) – En rettighedsoptrapningsfejl, der aktivt bruges i kædeangreb til at stjæle IIS-maskinnøgler og opnå vedvarende adgang .

Angribere kæder disse sårbarheder sammen: de bruger CVE-2026-32201 til indledende adgang, CVE-2026-45659 eller CVE-2026-56164 til kodeudførelse og CVE-2026-55040 som en kraftmultiplikator til autentificeringsomgåelse . Den koordinerede udnyttelseskampagne er blevet døbt "SharePoint-kæden" af nogle forskere .

Microsoft lukkede hullet i sin Patch Tuesday-opdatering fra den 14. juli 2026, og sårbarheden påvirker SharePoint Server Subscription Edition, 2019 og 2016 Enterprise . Men med over 8.500 SharePoint-servere, der ifølge internetdækkende scanninger stadig er eksponeret online, er mulighedsvinduet for angriberne stadig vidt åbent .

Sådan fungerer CVE-2026-55040: En JWT-valideringsfejl

Grundårsagen er en svag autentificeringsfejl (CWE-1390) i SharePoints JWT-valideringspipeline. Ifølge Rapid7, der opdagede fejlen, stammer sårbarheden fra flere forskellige svagheder i, hvordan SharePoints SPJsonWebSecurityTokenHandlerV2- og SPJsonWebSecurityBaseTokenHandlerV2-klasser parser Bearer service-til-service-tokens . En angriber kan sende et manipuleret JWT, som serveren stoler på uden korrekt kryptografisk verifikation, hvilket reelt giver dem mulighed for at påtage sig identiteten af en hvilken som helst SharePoint-bruger eller farm-administrator .

Microsoft beskrev fejlen kort og godt: "Autentificeringsfunktionen kunne omgås, da denne sårbarhed muliggør personificering" . Udnyttelse gør det muligt for en angriber at få adgang til filer og ændre data, men Microsoft oplyser, at det ikke kan påvirke systemets tilgængelighed .

Offentliggørelse og bevæbningstidslinje

• 14. juli 2026: Microsoft og Rapid7 offentliggør CVE-2026-55040 og udsender rettelser .
• 10. august 2026: Rapid7 offentliggør en detaljeret teknisk analyse af sårbarheden .
• 12. august 2026: Rapid7 frigiver en offentlig PoC-udnyttelse som et Python-script .
• Inden for få dage efter 12. august: Angribere begynder aktivt at bruge udnyttelsen i det fri .

Rapid7-forskeren Stephen Fewer opdagede fejlen og bemærkede, at den er den første i en kæde af to sårbarheder, der, når de kombineres med en anden (endnu ikke-offentliggjort) fejl, kan opnå uautentificeret fjernudførelse af kode mod sårbare SharePoint-servere .

CISAs afhjælpningsvejledning

CISA udsendte hastevejledning om hærdning den 14.-15. juli 2026 og opdaterede den, efterhånden som udnyttelsen eskalerede . Organisationer, der kører SharePoint på stedet, bør straks træffe følgende foranstaltninger:

• Installér juli 2026-kumulative opdateringer på alle SharePoint-servere i farmen. Bekræft successfuld installation via SharePoint Products Configuration Wizard eller PowerShell – en Windows Update alene garanterer ikke fuld service . Specifikke opdateringer inkluderer KB 5002891/KB 5002892 til SharePoint 2016 og KB 5002883 til SharePoint 2019 .
• Udsæt ikke SharePoint-servere direkte for internettet. Hvis internetadgang er nødvendig, placeres serveren bag en Layer 7-reverse-proxy eller tilsvarende sikkerhedsappliance, der håndhæver autentificering og inspicerer forespørgsler .
• Bloker ekstern adgang til SharePoint Central Administration – denne administrative grænseflade bør aldrig være tilgængelig fra internettet .
• Aktivér og verificer Antimalware Scan Interface-integration (AMSI) for hvert SharePoint-webprogram .
• Roter IIS-maskinnøgler, hvis der er tegn på kompromittering, og revider for indtrængningsartefakter før rotation af stjålne legitimationsoplysninger .
• Etabler skræddersyet logning og overvågning for at opdage unormale autentificeringsmønstre, og gennemgå autentificerings- og tilladelseslogs for perioden forud for patch-installation .

Bredere udnyttelseskontekst: Tre andre CVE'er under aktivt angreb

CVE-2026-55040 er ikke en isoleret hændelse. Samme dag, som rettelserne blev sendt ud, bekræftede CISA aktiv udnyttelse af tre yderligere SharePoint-CVE'er :

• CVE-2026-32201 (CVSS 6,5) – En forfalskningssårbarhed som følge af forkert inputvalidering, udnyttet siden mindst april 2026 .
• CVE-2026-45659 (CVSS 8,8) – Fjernudførelse af kode via deserialisering af upålidelige data. Pr. 11. august 2026 bekræftede CISA, at ransomware-bander er begyndt at misbruge denne fejl .
• CVE-2026-56164 (CVSS 5,3, men kan udnyttes eksternt uden autentificering) – En rettighedsoptrapningsfejl, der aktivt bruges i kædeangreb til at stjæle IIS-maskinnøgler og opnå vedvarende adgang .

Angribere kæder disse sårbarheder sammen: de bruger CVE-2026-32201 til indledende adgang, CVE-2026-45659 eller CVE-2026-56164 til kodeudførelse og CVE-2026-55040 som en kraftmultiplikator til autentificeringsomgåelse . Den koordinerede udnyttelseskampagne er blevet døbt "SharePoint-kæden" af nogle forskere .