Microsoft julkaisi korjauksen heinäkuun 14. päivän 2026 Patch Tuesday -päivityksissään, ja haavoittuvuus koskee SharePoint Server Subscription Editionia, 2019:ää ja 2016 Enterprisea . Internetiä kattavien skannausten mukaan yli 8 500 SharePoint-palvelinta on yhä suoraan verkossa, joten hyökkäysikkuna on edelleen laaja .

Miten CVE-2026-55040 toimii: JWT-tarkistuksen pettäminen

Perimmäinen syy on heikko tunnistautuminen (CWE-1390) SharePointin JWT-tarkistusputkessa. Rapid7:n, joka löysi haavoittuvuuden, mukaan se johtuu useista erillisistä heikkouksista siinä, miten SharePointin SPJsonWebSecurityTokenHandlerV2- ja SPJsonWebSecurityBaseTokenHandlerV2-luokat käsittelevät Bearer-palvelupalvelu-tokeneita . Hyökkääjä voi lähettää muokatun JWT:n, jota palvelin luottaa ilman asianmukaista salaustarkistusta, ja näin ottaa haltuunsa minkä tahansa SharePoint-sivuston käyttäjän tai palvelinfarmin pääkäyttäjän identiteetin .

Microsoft kuvaili haavoittuvuutta yksinkertaisesti: ”Tunnistautumisominaisuus voitaisiin ohittaa, koska tämä haavoittuvuus mahdollistaa henkilönä esiintymisen” . Hyväksikäyttö antaa hyökkääjälle mahdollisuuden paljastaa tiedostoja ja muokata tietoja, mutta Microsoftin mukaan se ei vaikuta järjestelmän saatavuuteen .

Haavoittuvuuden julkistaminen ja aseistaminen aikajanalla

• 14. heinäkuuta 2026: Microsoft ja Rapid7 julkistavat CVE-2026-55040:n ja julkaisevat korjaukset .
• 10. elokuuta 2026: Rapid7 julkaisee yksityiskohtaisen teknisen analyysin haavoittuvuudesta .
• 12. elokuuta 2026: Rapid7 julkaisee julkisen konseptitodisteen Python-skriptin muodossa .
• Päivien kuluessa 12. elokuuta: Hyökkääjät alkavat käyttää haavoittuvuutta aktiivisesti hyväkseen .

Rapid7:n tutkija Stephen Fewer löysi haavoittuvuuden, ja hän totesi sen olevan ensimmäinen osa kahden haavoittuvuuden ketjua, joka yhdistettynä toiseen (vielä salassa pidettävään) haavoittuvuuteen mahdollistaa tunnistautumattoman etäkoodin suorituksen haavoittuvissa SharePoint-palvelimissa .

CISA:n lievennysohjeet

CISA julkaisi kiireelliset suojausohjeet 14.–15. heinäkuuta 2026 ja päivitti niitä hyökkäysten kiihtyessä . Paikallisesti SharePointia käyttävien organisaatioiden tulee toimia välittömästi seuraavasti:

• Asenna heinäkuun 2026 kumulatiiviset päivitykset kaikkiin SharePoint-palvelinfarmin palvelimiin. Varmista onnistunut asennus SharePoint Products Configuration Wizardin tai PowerShellin avulla – pelkkä Windows Update ei takaa täydellistä päivitystä . Tarvittavia päivityksiä ovat KB 5002891/KB 5002892 SharePoint 2016:lle ja KB 5002883 SharePoint 2019:lle .
• Älä altista SharePoint-palvelimia suoraan internetiin. Jos internet-yhteys on tarpeen, aseta palvelin Layer 7 -käänteisproxyn tai vastaavan sovellustason suojauslaitteen taakse, joka vahvistaa tunnistautumisen ja tarkastaa pyynnöt .
• Estä ulkoinen pääsy SharePoint Central Administrationiin – tämä hallintaliittymä ei saa koskaan olla tavoitettavissa internetistä .
• Ota käyttöön ja varmista Antimalware Scan Interface (AMSI) -integrointi jokaiselle SharePoint-sovellukselle .
• Vaihda IIS-avaimet, jos on merkkejä kompromissista, ja tarkasta tunkeutumisen jäljet ennen varastettujen tunnistetietojen vaihtamista .
• Perusta räätälöity lokitus ja valvonta poikkeavien tunnistautumismallien havaitsemiseksi, ja tarkista tunnistautumis- ja käyttöoikeuslokit ennen korjauspäivitysten asentamista .

Laajempi hyökkäyskonteksti: Kolme muuta CVE:tä aktiivisessa käytössä

CVE-2026-55040 ei ole yksittäinen tapaus. Samana päivänä, kun korjaukset julkaistiin, CISA vahvisti kolmen muun SharePoint-haavoittuvuuden aktiivisen hyväksikäytön :

• CVE-2026-32201 (CVSS 6.5) – Huijaushaavoittuvuus, joka johtuu virheellisestä syötteen tarkistuksesta. Sitä on käytetty hyväksi ainakin huhtikuusta 2026 lähtien .
• CVE-2026-45659 (CVSS 8.8) – Etäkoodin suoritus, joka hyödyntää luottamattoman datan deserialisointia. CISA vahvisti 11. elokuuta 2026, että kiristyshaittaohjelmat ovat alkaneet käyttää tätä haavoittuvuutta hyväkseen .
• CVE-2026-56164 (CVSS 5.3, mutta hyödynnettävissä etänä ilman tunnistautumista) – Oikeuksien korotushaavoittuvuus, jota käytetään aktiivisesti hyökkäyksissä IIS-avainten varastamiseen ja pysyvän pääsyn saamiseksi .

Hyökkääjät yhdistävät nämä haavoittuvuudet: CVE-2026-32201 antaa alkupääsyn, CVE-2026-45659 tai CVE-2026-56164 mahdollistaa koodin suorituksen, ja CVE-2026-55040 toimii voimakertoimena tunnistautumisen ohituksessa . Jotkut tutkijat ovat nimenneet tämän koordinoidun hyökkäyskampanjan ”SharePoint-ketjuksi” .

Microsoft julkaisi korjauksen heinäkuun 14. päivän 2026 Patch Tuesday -päivityksissään, ja haavoittuvuus koskee SharePoint Server Subscription Editionia, 2019:ää ja 2016 Enterprisea . Internetiä kattavien skannausten mukaan yli 8 500 SharePoint-palvelinta on yhä suoraan verkossa, joten hyökkäysikkuna on edelleen laaja .

Miten CVE-2026-55040 toimii: JWT-tarkistuksen pettäminen

Perimmäinen syy on heikko tunnistautuminen (CWE-1390) SharePointin JWT-tarkistusputkessa. Rapid7:n, joka löysi haavoittuvuuden, mukaan se johtuu useista erillisistä heikkouksista siinä, miten SharePointin SPJsonWebSecurityTokenHandlerV2- ja SPJsonWebSecurityBaseTokenHandlerV2-luokat käsittelevät Bearer-palvelupalvelu-tokeneita . Hyökkääjä voi lähettää muokatun JWT:n, jota palvelin luottaa ilman asianmukaista salaustarkistusta, ja näin ottaa haltuunsa minkä tahansa SharePoint-sivuston käyttäjän tai palvelinfarmin pääkäyttäjän identiteetin .

Microsoft kuvaili haavoittuvuutta yksinkertaisesti: ”Tunnistautumisominaisuus voitaisiin ohittaa, koska tämä haavoittuvuus mahdollistaa henkilönä esiintymisen” . Hyväksikäyttö antaa hyökkääjälle mahdollisuuden paljastaa tiedostoja ja muokata tietoja, mutta Microsoftin mukaan se ei vaikuta järjestelmän saatavuuteen .

Haavoittuvuuden julkistaminen ja aseistaminen aikajanalla

• 14. heinäkuuta 2026: Microsoft ja Rapid7 julkistavat CVE-2026-55040:n ja julkaisevat korjaukset .
• 10. elokuuta 2026: Rapid7 julkaisee yksityiskohtaisen teknisen analyysin haavoittuvuudesta .
• 12. elokuuta 2026: Rapid7 julkaisee julkisen konseptitodisteen Python-skriptin muodossa .
• Päivien kuluessa 12. elokuuta: Hyökkääjät alkavat käyttää haavoittuvuutta aktiivisesti hyväkseen .

Rapid7:n tutkija Stephen Fewer löysi haavoittuvuuden, ja hän totesi sen olevan ensimmäinen osa kahden haavoittuvuuden ketjua, joka yhdistettynä toiseen (vielä salassa pidettävään) haavoittuvuuteen mahdollistaa tunnistautumattoman etäkoodin suorituksen haavoittuvissa SharePoint-palvelimissa .

CISA:n lievennysohjeet

CISA julkaisi kiireelliset suojausohjeet 14.–15. heinäkuuta 2026 ja päivitti niitä hyökkäysten kiihtyessä . Paikallisesti SharePointia käyttävien organisaatioiden tulee toimia välittömästi seuraavasti:

• Asenna heinäkuun 2026 kumulatiiviset päivitykset kaikkiin SharePoint-palvelinfarmin palvelimiin. Varmista onnistunut asennus SharePoint Products Configuration Wizardin tai PowerShellin avulla – pelkkä Windows Update ei takaa täydellistä päivitystä . Tarvittavia päivityksiä ovat KB 5002891/KB 5002892 SharePoint 2016:lle ja KB 5002883 SharePoint 2019:lle .
• Älä altista SharePoint-palvelimia suoraan internetiin. Jos internet-yhteys on tarpeen, aseta palvelin Layer 7 -käänteisproxyn tai vastaavan sovellustason suojauslaitteen taakse, joka vahvistaa tunnistautumisen ja tarkastaa pyynnöt .
• Estä ulkoinen pääsy SharePoint Central Administrationiin – tämä hallintaliittymä ei saa koskaan olla tavoitettavissa internetistä .
• Ota käyttöön ja varmista Antimalware Scan Interface (AMSI) -integrointi jokaiselle SharePoint-sovellukselle .
• Vaihda IIS-avaimet, jos on merkkejä kompromissista, ja tarkasta tunkeutumisen jäljet ennen varastettujen tunnistetietojen vaihtamista .
• Perusta räätälöity lokitus ja valvonta poikkeavien tunnistautumismallien havaitsemiseksi, ja tarkista tunnistautumis- ja käyttöoikeuslokit ennen korjauspäivitysten asentamista .

Laajempi hyökkäyskonteksti: Kolme muuta CVE:tä aktiivisessa käytössä

CVE-2026-55040 ei ole yksittäinen tapaus. Samana päivänä, kun korjaukset julkaistiin, CISA vahvisti kolmen muun SharePoint-haavoittuvuuden aktiivisen hyväksikäytön :

• CVE-2026-32201 (CVSS 6.5) – Huijaushaavoittuvuus, joka johtuu virheellisestä syötteen tarkistuksesta. Sitä on käytetty hyväksi ainakin huhtikuusta 2026 lähtien .
• CVE-2026-45659 (CVSS 8.8) – Etäkoodin suoritus, joka hyödyntää luottamattoman datan deserialisointia. CISA vahvisti 11. elokuuta 2026, että kiristyshaittaohjelmat ovat alkaneet käyttää tätä haavoittuvuutta hyväkseen .
• CVE-2026-56164 (CVSS 5.3, mutta hyödynnettävissä etänä ilman tunnistautumista) – Oikeuksien korotushaavoittuvuus, jota käytetään aktiivisesti hyökkäyksissä IIS-avainten varastamiseen ja pysyvän pääsyn saamiseksi .

Hyökkääjät yhdistävät nämä haavoittuvuudet: CVE-2026-32201 antaa alkupääsyn, CVE-2026-45659 tai CVE-2026-56164 mahdollistaa koodin suorituksen, ja CVE-2026-55040 toimii voimakertoimena tunnistautumisen ohituksessa . Jotkut tutkijat ovat nimenneet tämän koordinoidun hyökkäyskampanjan ”SharePoint-ketjuksi” .