הפגיעות הקריטית CVE-2026-55040 ב-SharePoint: עקיפת אימות JWT תחת מתקפה פעילה
CVE 2026 55040 היא פגיעות קריטית (CVSS 9.1) בעקיפת אימות ב SharePoint, המאפשרת לתוקף מרוחק לזייף טוקני JWT ולהתחזות לכל משתמש – כולל מנהלי מערכת. CISA דורשת הטלת תיקונים מיידית: התקנת עדכוני יולי 2026 המצטברים, הימנעות מחשיפה ישירה לאינטרנט, חסימת גישה חיצונית ל Central Administration, הפעלת AMSI, סיבוב מפתחות IIS ב...
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
CVE 2026 55040 היא פגיעות קריטית (CVSS 9.1) בעקיפת אימות ב SharePoint, המאפשרת לתוקף מרוחק לזייף טוקני JWT ולהתחזות לכל משתמש – כולל מנהלי מערכת.
CISA דורשת הטלת תיקונים מיידית: התקנת עדכוני יולי 2026 המצטברים, הימנעות מחשיפה ישירה לאינטרנט, חסימת גישה חיצונית ל Central Administration, הפעלת AMSI, סיבוב מפתחות IIS במקרה חשד לפריצה ועוד.
הפגיעות היא חלק מגל תקיפות רחב: שלוש פגיעות SharePoint נוספות (CVE 2026 32201, CVE 2026 45659, CVE 2026 56164) כבר מנוצלות בשטח, וכנופיות כופרה מנצלות את CVE 2026 45659.
What is the critical SharePoint authentication bypass vulnerability (CVE-2026-55040, CVSS 9.1) that was weaponized by attackers just days afIllustration of a SharePoint server under cyberattack via a JWT authentication bypass vulnerability.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the critical SharePoint authentication bypass vulnerability (CVE-2026-55040, CVSS 9.1) that was weaponized by attackers just days af. Article summary: ## CVE-2026-55040 — Critical SharePoint Authentication Bypass. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
תוקפים מנצלים כעת באופן פעיל פגיעות עקיפת אימות קריטית בשרתי Microsoft SharePoint מקומיים (on-premises), ימים ספורים בלבד לאחר שחברת האבטחה Rapid7 פרסמה exploit (PoC) מלא. הפגיעות, הידועה בשם CVE-2026-55040 ומדורגת בציון CVSS 9.1, מאפשרת לתוקף מרוחק לא מזוהה לזייף JSON Web Tokens (JWTs) ולהתחזות לכל משתמש SharePoint – כולל מנהלי אתרים – ללא צורך בסיסמה או בסשן תקף .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "הפגיעות הקריטית CVE-2026-55040 ב-SharePoint: עקיפת אימות JWT תחת מתקפה פעילה"?
CVE 2026 55040 היא פגיעות קריטית (CVSS 9.1) בעקיפת אימות ב SharePoint, המאפשרת לתוקף מרוחק לזייף טוקני JWT ולהתחזות לכל משתמש – כולל מנהלי מערכת.
What are the key points to validate first?
CVE 2026 55040 היא פגיעות קריטית (CVSS 9.1) בעקיפת אימות ב SharePoint, המאפשרת לתוקף מרוחק לזייף טוקני JWT ולהתחזות לכל משתמש – כולל מנהלי מערכת. CISA דורשת הטלת תיקונים מיידית: התקנת עדכוני יולי 2026 המצטברים, הימנעות מחשיפה ישירה לאינטרנט, חסימת גישה חיצונית ל Central Administration, הפעלת AMSI, סיבוב מפתחות IIS במקרה חשד לפריצה ועוד.
What should I do next in practice?
הפגיעות היא חלק מגל תקיפות רחב: שלוש פגיעות SharePoint נוספות (CVE 2026 32201, CVE 2026 45659, CVE 2026 56164) כבר מנוצלות בשטח, וכנופיות כופרה מנצלות את CVE 2026 45659.
הפגיעות הקריטית CVE-2026-55040 ב-SharePoint: עקיפת אימות JWT תחת מתקפה פעילה
CVE 2026 55040 היא פגיעות קריטית (CVSS 9.1) בעקיפת אימות ב SharePoint, המאפשרת לתוקף מרוחק לזייף טוקני JWT ולהתחזות לכל משתמש – כולל מנהלי מערכת. CISA דורשת הטלת תיקונים מיידית: התקנת עדכוני יולי 2026 המצטברים, הימנעות מחשיפה ישירה לאינטרנט, חסימת גישה חיצונית ל Central Administration, הפעלת AMSI, סיבוב מפתחות IIS ב...
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
CVE 2026 55040 היא פגיעות קריטית (CVSS 9.1) בעקיפת אימות ב SharePoint, המאפשרת לתוקף מרוחק לזייף טוקני JWT ולהתחזות לכל משתמש – כולל מנהלי מערכת.
CISA דורשת הטלת תיקונים מיידית: התקנת עדכוני יולי 2026 המצטברים, הימנעות מחשיפה ישירה לאינטרנט, חסימת גישה חיצונית ל Central Administration, הפעלת AMSI, סיבוב מפתחות IIS במקרה חשד לפריצה ועוד.
הפגיעות היא חלק מגל תקיפות רחב: שלוש פגיעות SharePoint נוספות (CVE 2026 32201, CVE 2026 45659, CVE 2026 56164) כבר מנוצלות בשטח, וכנופיות כופרה מנצלות את CVE 2026 45659.
What is the critical SharePoint authentication bypass vulnerability (CVE-2026-55040, CVSS 9.1) that was weaponized by attackers just days afIllustration of a SharePoint server under cyberattack via a JWT authentication bypass vulnerability.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the critical SharePoint authentication bypass vulnerability (CVE-2026-55040, CVSS 9.1) that was weaponized by attackers just days af. Article summary: ## CVE-2026-55040 — Critical SharePoint Authentication Bypass. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
תוקפים מנצלים כעת באופן פעיל פגיעות עקיפת אימות קריטית בשרתי Microsoft SharePoint מקומיים (on-premises), ימים ספורים בלבד לאחר שחברת האבטחה Rapid7 פרסמה exploit (PoC) מלא. הפגיעות, הידועה בשם CVE-2026-55040 ומדורגת בציון CVSS 9.1, מאפשרת לתוקף מרוחק לא מזוהה לזייף JSON Web Tokens (JWTs) ולהתחזות לכל משתמש SharePoint – כולל מנהלי אתרים – ללא צורך בסיסמה או בסשן תקף .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "הפגיעות הקריטית CVE-2026-55040 ב-SharePoint: עקיפת אימות JWT תחת מתקפה פעילה"?
CVE 2026 55040 היא פגיעות קריטית (CVSS 9.1) בעקיפת אימות ב SharePoint, המאפשרת לתוקף מרוחק לזייף טוקני JWT ולהתחזות לכל משתמש – כולל מנהלי מערכת.
What are the key points to validate first?
CVE 2026 55040 היא פגיעות קריטית (CVSS 9.1) בעקיפת אימות ב SharePoint, המאפשרת לתוקף מרוחק לזייף טוקני JWT ולהתחזות לכל משתמש – כולל מנהלי מערכת. CISA דורשת הטלת תיקונים מיידית: התקנת עדכוני יולי 2026 המצטברים, הימנעות מחשיפה ישירה לאינטרנט, חסימת גישה חיצונית ל Central Administration, הפעלת AMSI, סיבוב מפתחות IIS במקרה חשד לפריצה ועוד.
What should I do next in practice?
הפגיעות היא חלק מגל תקיפות רחב: שלוש פגיעות SharePoint נוספות (CVE 2026 32201, CVE 2026 45659, CVE 2026 56164) כבר מנוצלות בשטח, וכנופיות כופרה מנצלות את CVE 2026 45659.
מיקרוסופט תיקנה את הפגיעות בעדכוני Patch Tuesday של יולי 2026, המשפיעים על SharePoint Server Subscription Edition, 2019 ו-2016 Enterprise . אולם, עם למעלה מ-8,500 שרתי SharePoint שעדיין חשופים באינטרנט על פי סריקות גלובליות, חלון ההזדמנויות לתוקפים נותר פתוח לרווחה .
איך CVE-2026-55040 עובד: כשל באימות JWT
שורש הבעיה הוא כשל באימות חלש (CWE-1390) במנגנון אימות ה-JWT של SharePoint. לפי Rapid7, שגילתה את הבאג, הפגיעות נובעת ממספר חולשות מובחנות באופן שבו המחלקות SPJsonWebSecurityTokenHandlerV2 ו-SPJsonWebSecurityBaseTokenHandlerV2 של SharePoint מנתחות טוקני Bearer לשירות-לשירות . תוקף יכול לשלוח JWT מזויף שהשרת סומך עליו ללא אימות קריפטוגרפי מתאים, ובכך למעשה להתחזות לכל משתמש SharePoint או מנהל מערכת .
מיקרוסופט תיארה את הפגיעות בפשטות: "ניתן לעקוף את תכונת האימות, מאחר שפגיעות זו מאפשרת התחזות" . ניצול הפגיעות מאפשר לתוקף לחשוף קבצים ולשנות נתונים, אם כי מיקרוסופט מציינת כי אין בכך כדי לפגוע בזמינות המערכת .
ציר הזמן של הגילוי והנשק
14 ביולי 2026: מיקרוסופט ו-Rapid7 חושפות את CVE-2026-55040 ומשחררות תיקונים .
10 באוגוסט 2026: Rapid7 מפרסמת ניתוח טכני מפורט של הפגיעות .
12 באוגוסט 2026: Rapid7 משחררת PoC ציבורי כסקריפט Python .
תוך ימים מ-12 באוגוסט: תוקפים מתחילים לנשק את ה-exploit באופן פעיל בשטח .
החוקר Stephen Fewer מ-Rapid7 גילה את הפגיעות, וציין כי זוהי הראשונה בשרשרת של שתי פגיעות, שכאשר הן משולבות עם פגיעות שנייה (שעדיין תחת אמברגו), יכולות להשיג ביצוע קוד מרחוק ללא אימות נגד שרתי SharePoint פגיעים .
הנחיות התרככות של CISA
CISA פרסמה הנחיות התרככות דחופות ב-14–15 ביולי 2026, ועדכנה אותן ככל שהניצול הסלים . ארגונים המפעילים SharePoint מקומי צריכים לנקוט בצעדים הבאים באופן מיידי:
הטילו את העדכונים המצטברים של יולי 2026 על כל שרתי SharePoint בחווה. ודאו התקנה מוצלחת באמצעות SharePoint Products Configuration Wizard או PowerShell – עדכון Windows לבדו אינו מבטיח שירות מלא . העדכונים הספציפיים כוללים KB 5002891/KB 5002892 עבור SharePoint 2016 ו-KB 5002883 עבור SharePoint 2019 .
אל תחשוף שרתי SharePoint ישירות לאינטרנט. אם נדרשת גישה לאינטרנט, הצב את השרת מאחורי reverse proxy משכבה 7 או התקן אבטחת יישומים מקביל שאוכף אימות ובודק בקשות .
חסום גישה חיצונית ל-SharePoint Central Administration – ממשק ניהולי זה לעולם לא אמור להיות נגיש מהאינטרנט .
הפעל ואמת שילוב Antimalware Scan Interface (AMSI) עבור כל יישום אינטרנט של SharePoint .
סובב מפתחות IIS אם יש סימן כלשהו לפריצה, ובצע ביקורת לאיתור ראיות לחדירה לפני סיבוב אישורים גנובים .
הקמו ניטור ורישום מותאמים אישית לאיתור דפוסי אימות חריגים, וסקרו יומני אימות והרשאות לתקופה שקדמה לפריסת התיקון .
הקשר ניצול רחב יותר: שלוש פגיעויות CVE נוספות תחת מתקפה פעילה
CVE-2026-55040 אינה אירוע מבודד. באותו יום שבו שוחררו תיקונים, CISA אישרה ניצול פעיל של שלוש פגיעויות SharePoint נוספות:
CVE-2026-32201 (CVSS 6.5) – פגיעות התחזות הנובעת מאימות קלט לא תקין, מנוצלת לפחות מאפריל 2026 .
CVE-2026-45659 (CVSS 8.8) – ביצוע קוד מרחוק באמצעות deserialization של נתונים לא מהימנים. נכון ל-11 באוגוסט 2026, CISA אישרה כי כנופיות כופרה החלו לנצל פגיעות זו .
CVE-2026-56164 (CVSS 5.3, אך ניתנת לניצול מרחוק ללא אימות) – פגיעות הרחבת הרשאות המנוצלת באופן פעיל בשרשראות תקיפה לגניבת מפתחות IIS ולהשגת גישה מתמשכת .
תוקפים משחילים את הפגיעויות הללו יחדיו: שימוש ב-CVE-2026-32201 לגישה ראשונית, CVE-2026-45659 או CVE-2026-56164 לביצוע קוד, ו-CVE-2026-55040 כמכפיל כוח לעקיפת אימות . מסע הניצול המתואם כונה על ידי חוקרים מסוימים "שרשרת SharePoint" .
helpnetsecurity.comAttackers exploit critical SharePoint flaw after PoC goes public (CVE ...
מיקרוסופט תיקנה את הפגיעות בעדכוני Patch Tuesday של יולי 2026, המשפיעים על SharePoint Server Subscription Edition, 2019 ו-2016 Enterprise . אולם, עם למעלה מ-8,500 שרתי SharePoint שעדיין חשופים באינטרנט על פי סריקות גלובליות, חלון ההזדמנויות לתוקפים נותר פתוח לרווחה .
איך CVE-2026-55040 עובד: כשל באימות JWT
שורש הבעיה הוא כשל באימות חלש (CWE-1390) במנגנון אימות ה-JWT של SharePoint. לפי Rapid7, שגילתה את הבאג, הפגיעות נובעת ממספר חולשות מובחנות באופן שבו המחלקות SPJsonWebSecurityTokenHandlerV2 ו-SPJsonWebSecurityBaseTokenHandlerV2 של SharePoint מנתחות טוקני Bearer לשירות-לשירות . תוקף יכול לשלוח JWT מזויף שהשרת סומך עליו ללא אימות קריפטוגרפי מתאים, ובכך למעשה להתחזות לכל משתמש SharePoint או מנהל מערכת .
מיקרוסופט תיארה את הפגיעות בפשטות: "ניתן לעקוף את תכונת האימות, מאחר שפגיעות זו מאפשרת התחזות" . ניצול הפגיעות מאפשר לתוקף לחשוף קבצים ולשנות נתונים, אם כי מיקרוסופט מציינת כי אין בכך כדי לפגוע בזמינות המערכת .
ציר הזמן של הגילוי והנשק
14 ביולי 2026: מיקרוסופט ו-Rapid7 חושפות את CVE-2026-55040 ומשחררות תיקונים .
10 באוגוסט 2026: Rapid7 מפרסמת ניתוח טכני מפורט של הפגיעות .
12 באוגוסט 2026: Rapid7 משחררת PoC ציבורי כסקריפט Python .
תוך ימים מ-12 באוגוסט: תוקפים מתחילים לנשק את ה-exploit באופן פעיל בשטח .
החוקר Stephen Fewer מ-Rapid7 גילה את הפגיעות, וציין כי זוהי הראשונה בשרשרת של שתי פגיעות, שכאשר הן משולבות עם פגיעות שנייה (שעדיין תחת אמברגו), יכולות להשיג ביצוע קוד מרחוק ללא אימות נגד שרתי SharePoint פגיעים .
הנחיות התרככות של CISA
CISA פרסמה הנחיות התרככות דחופות ב-14–15 ביולי 2026, ועדכנה אותן ככל שהניצול הסלים . ארגונים המפעילים SharePoint מקומי צריכים לנקוט בצעדים הבאים באופן מיידי:
הטילו את העדכונים המצטברים של יולי 2026 על כל שרתי SharePoint בחווה. ודאו התקנה מוצלחת באמצעות SharePoint Products Configuration Wizard או PowerShell – עדכון Windows לבדו אינו מבטיח שירות מלא . העדכונים הספציפיים כוללים KB 5002891/KB 5002892 עבור SharePoint 2016 ו-KB 5002883 עבור SharePoint 2019 .
אל תחשוף שרתי SharePoint ישירות לאינטרנט. אם נדרשת גישה לאינטרנט, הצב את השרת מאחורי reverse proxy משכבה 7 או התקן אבטחת יישומים מקביל שאוכף אימות ובודק בקשות .
חסום גישה חיצונית ל-SharePoint Central Administration – ממשק ניהולי זה לעולם לא אמור להיות נגיש מהאינטרנט .
הפעל ואמת שילוב Antimalware Scan Interface (AMSI) עבור כל יישום אינטרנט של SharePoint .
סובב מפתחות IIS אם יש סימן כלשהו לפריצה, ובצע ביקורת לאיתור ראיות לחדירה לפני סיבוב אישורים גנובים .
הקמו ניטור ורישום מותאמים אישית לאיתור דפוסי אימות חריגים, וסקרו יומני אימות והרשאות לתקופה שקדמה לפריסת התיקון .
הקשר ניצול רחב יותר: שלוש פגיעויות CVE נוספות תחת מתקפה פעילה
CVE-2026-55040 אינה אירוע מבודד. באותו יום שבו שוחררו תיקונים, CISA אישרה ניצול פעיל של שלוש פגיעויות SharePoint נוספות:
CVE-2026-32201 (CVSS 6.5) – פגיעות התחזות הנובעת מאימות קלט לא תקין, מנוצלת לפחות מאפריל 2026 .
CVE-2026-45659 (CVSS 8.8) – ביצוע קוד מרחוק באמצעות deserialization של נתונים לא מהימנים. נכון ל-11 באוגוסט 2026, CISA אישרה כי כנופיות כופרה החלו לנצל פגיעות זו .
CVE-2026-56164 (CVSS 5.3, אך ניתנת לניצול מרחוק ללא אימות) – פגיעות הרחבת הרשאות המנוצלת באופן פעיל בשרשראות תקיפה לגניבת מפתחות IIS ולהשגת גישה מתמשכת .
תוקפים משחילים את הפגיעויות הללו יחדיו: שימוש ב-CVE-2026-32201 לגישה ראשונית, CVE-2026-45659 או CVE-2026-56164 לביצוע קוד, ו-CVE-2026-55040 כמכפיל כוח לעקיפת אימות . מסע הניצול המתואם כונה על ידי חוקרים מסוימים "שרשרת SharePoint" .
helpnetsecurity.comAttackers exploit critical SharePoint flaw after PoC goes public (CVE ...
