CVE-2026-55040: Celah Kritis Otentikasi SharePoint Dieksploitasi Hacker, Ribuan Server Masih Terpapar
CVE 2026 55040 adalah kerentanan bypass otentikasi kritis (CVSS 9,1) pada SharePoint Server yang memungkinkan penyerang tanpa autentikasi memalsukan token JWT dan menyamar sebagai pengguna mana pun, termasuk administr... CISA mendesak patch segera: terapkan pembaruan kumulatif Juli 2026, hindari eksposur langsung ke...
Diterbitkan olehDiedit dengan DeepSeek-V4-FlashGambar dibuat dengan GPT Image 1.5
CVE 2026 55040 adalah kerentanan bypass otentikasi kritis (CVSS 9,1) pada SharePoint Server yang memungkinkan penyerang tanpa autentikasi memalsukan token JWT dan menyamar sebagai pengguna mana pun, termasuk administr...
CISA mendesak patch segera: terapkan pembaruan kumulatif Juli 2026, hindari eksposur langsung ke internet, blokir akses eksternal ke Central Administration, aktifkan AMSI, rotasi kunci IIS jika terindikasi kompromi.
Kerentanan ini adalah bagian dari gelombang serangan yang lebih besar: tiga CVE SharePoint lain (CVE 2026 32201, CVE 2026 45659, CVE 2026 56164) sedang dieksploitasi secara aktif, dan CVE 2026 45659 telah disalahgunak...
What is the critical SharePoint authentication bypass vulnerability (CVE-2026-55040, CVSS 9.1) that was weaponized by attackers just days afIllustration of a SharePoint server under cyberattack via a JWT authentication bypass vulnerability.
AI Perintah
Create a landscape editorial hero image for this Studio Global article: What is the critical SharePoint authentication bypass vulnerability (CVE-2026-55040, CVSS 9.1) that was weaponized by attackers just days af. Article summary: ## CVE-2026-55040 — Critical SharePoint Authentication Bypass. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Hanya beberapa hari setelah perusahaan keamanan siber Rapid7 menerbitkan bukti konsep (Proof-of-Concept/PoC) eksploitasi secara publik, para peretas langsung bergerak menyerang server Microsoft SharePoint on-premises yang belum di-patch menggunakan kerentanan kritis CVE-2026-55040.
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Apa jawaban singkat untuk "CVE-2026-55040: Celah Kritis Otentikasi SharePoint Dieksploitasi Hacker, Ribuan Server Masih Terpapar"?
CVE 2026 55040 adalah kerentanan bypass otentikasi kritis (CVSS 9,1) pada SharePoint Server yang memungkinkan penyerang tanpa autentikasi memalsukan token JWT dan menyamar sebagai pengguna mana pun, termasuk administr...
Apa poin penting yang harus divalidasi terlebih dahulu?
CVE 2026 55040 adalah kerentanan bypass otentikasi kritis (CVSS 9,1) pada SharePoint Server yang memungkinkan penyerang tanpa autentikasi memalsukan token JWT dan menyamar sebagai pengguna mana pun, termasuk administr... CISA mendesak patch segera: terapkan pembaruan kumulatif Juli 2026, hindari eksposur langsung ke internet, blokir akses eksternal ke Central Administration, aktifkan AMSI, rotasi kunci IIS jika terindikasi kompromi.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Kerentanan ini adalah bagian dari gelombang serangan yang lebih besar: tiga CVE SharePoint lain (CVE 2026 32201, CVE 2026 45659, CVE 2026 56164) sedang dieksploitasi secara aktif, dan CVE 2026 45659 telah disalahgunak...
CVE-2026-55040: Celah Kritis Otentikasi SharePoint Dieksploitasi Hacker, Ribuan Server Masih Terpapar
CVE 2026 55040 adalah kerentanan bypass otentikasi kritis (CVSS 9,1) pada SharePoint Server yang memungkinkan penyerang tanpa autentikasi memalsukan token JWT dan menyamar sebagai pengguna mana pun, termasuk administr... CISA mendesak patch segera: terapkan pembaruan kumulatif Juli 2026, hindari eksposur langsung ke...
Diterbitkan olehDiedit dengan DeepSeek-V4-FlashGambar dibuat dengan GPT Image 1.5
CVE 2026 55040 adalah kerentanan bypass otentikasi kritis (CVSS 9,1) pada SharePoint Server yang memungkinkan penyerang tanpa autentikasi memalsukan token JWT dan menyamar sebagai pengguna mana pun, termasuk administr...
CISA mendesak patch segera: terapkan pembaruan kumulatif Juli 2026, hindari eksposur langsung ke internet, blokir akses eksternal ke Central Administration, aktifkan AMSI, rotasi kunci IIS jika terindikasi kompromi.
Kerentanan ini adalah bagian dari gelombang serangan yang lebih besar: tiga CVE SharePoint lain (CVE 2026 32201, CVE 2026 45659, CVE 2026 56164) sedang dieksploitasi secara aktif, dan CVE 2026 45659 telah disalahgunak...
What is the critical SharePoint authentication bypass vulnerability (CVE-2026-55040, CVSS 9.1) that was weaponized by attackers just days afIllustration of a SharePoint server under cyberattack via a JWT authentication bypass vulnerability.
AI Perintah
Create a landscape editorial hero image for this Studio Global article: What is the critical SharePoint authentication bypass vulnerability (CVE-2026-55040, CVSS 9.1) that was weaponized by attackers just days af. Article summary: ## CVE-2026-55040 — Critical SharePoint Authentication Bypass. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Hanya beberapa hari setelah perusahaan keamanan siber Rapid7 menerbitkan bukti konsep (Proof-of-Concept/PoC) eksploitasi secara publik, para peretas langsung bergerak menyerang server Microsoft SharePoint on-premises yang belum di-patch menggunakan kerentanan kritis CVE-2026-55040.
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Apa jawaban singkat untuk "CVE-2026-55040: Celah Kritis Otentikasi SharePoint Dieksploitasi Hacker, Ribuan Server Masih Terpapar"?
CVE 2026 55040 adalah kerentanan bypass otentikasi kritis (CVSS 9,1) pada SharePoint Server yang memungkinkan penyerang tanpa autentikasi memalsukan token JWT dan menyamar sebagai pengguna mana pun, termasuk administr...
Apa poin penting yang harus divalidasi terlebih dahulu?
CVE 2026 55040 adalah kerentanan bypass otentikasi kritis (CVSS 9,1) pada SharePoint Server yang memungkinkan penyerang tanpa autentikasi memalsukan token JWT dan menyamar sebagai pengguna mana pun, termasuk administr... CISA mendesak patch segera: terapkan pembaruan kumulatif Juli 2026, hindari eksposur langsung ke internet, blokir akses eksternal ke Central Administration, aktifkan AMSI, rotasi kunci IIS jika terindikasi kompromi.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Kerentanan ini adalah bagian dari gelombang serangan yang lebih besar: tiga CVE SharePoint lain (CVE 2026 32201, CVE 2026 45659, CVE 2026 56164) sedang dieksploitasi secara aktif, dan CVE 2026 45659 telah disalahgunak...
Celah ini, yang mendapat skor CVSS 9.1 (Critical), memungkinkan penyerang jarak jauh tanpa autentikasi untuk memalsukan JSON Web Token (JWT) dan menyamar sebagai pengguna SharePoint mana pun, termasuk administrator situs, tanpa perlu kata sandi atau sesi yang valid .
Microsoft telah merilis tambalan untuk kerentanan ini dalam Patch Tuesday Juli 2026, yang memengaruhi SharePoint Server Subscription Edition, 2019, dan 2016 Enterprise . Namun, pemindaian di seluruh internet menunjukkan bahwa lebih dari 8.500 server SharePoint masih terbuka dan dapat diakses dari internet, sehingga celah ini masih menjadi ancaman besar .
Akar masalahnya adalah kelemahan autentikasi (CWE-1390) dalam proses validasi JWT SharePoint. Menurut Rapid7 yang menemukan bug ini, kerentanan berasal dari beberapa kelemahan berbeda pada kelas SPJsonWebSecurityTokenHandlerV2 dan SPJsonWebSecurityBaseTokenHandlerV2 yang bertugas mem-parsing token Bearer untuk komunikasi antar-layanan .
Penyerang dapat mengirimkan token JWT yang telah dimanipulasi, dan server akan mempercayainya tanpa verifikasi kriptografi yang memadai. Ini secara efektif memungkinkan penyerang untuk mengambil alih identitas pengguna mana pun .
Microsoft mendeskripsikan celah ini dengan sederhana: "Fitur autentikasi dapat dilewati karena kerentanan ini memungkinkan peniruan identitas" . Eksploitasi ini memungkinkan penyerang untuk menampilkan dan memodifikasi data, meskipun Microsoft menyatakan tidak akan memengaruhi ketersediaan sistem .
Kronologi Pengungkapan dan Senjata Siber
14 Juli 2026: Microsoft dan Rapid7 mengungkapkan CVE-2026-55040 dan merilis tambalan .
10 Agustus 2026: Rapid7 mempublikasikan analisis teknis mendetail tentang kerentanan ini .
12 Agustus 2026: Rapid7 merilis PoC eksploitasi publik sebagai skrip Python .
Beberapa hari setelah 12 Agustus: Penyerang mulai mempersenjatai dan mengeksploitasi celah ini secara aktif di dunia maya .
Peneliti Rapid7, Stephen Fewer, yang menemukan celah ini, mencatat bahwa ini adalah bagian pertama dari rantai dua kerentanan yang, jika digabungkan dengan celah kedua yang masih dirahasiakan, dapat mencapai eksekusi kode jarak jauh tanpa autentikasi pada server SharePoint yang rentan .
Panduan Mitigasi CISA
Badan Keamanan Siber dan Infrastruktur AS (CISA) telah mengeluarkan panduan pengamanan mendesak pada 14-15 Juli 2026, dan memperbaruinya seiring eskalasi eksploitasi . Organisasi yang menjalankan SharePoint on-premises harus segera mengambil tindakan berikut:
Terapkan pembaruan kumulatif Juli 2026 ke semua server SharePoint di farm. Pastikan instalasi berhasil melalui SharePoint Products Configuration Wizard atau PowerShell — hanya menjalankan Windows Update tidak menjamin servis penuh . Pembaruan spesifik termasuk KB 5002891/KB 5002892 untuk SharePoint 2016 dan KB 5002883 untuk SharePoint 2019 .
Jangan biarkan server SharePoint terpapar langsung ke internet. Jika akses internet diperlukan, tempatkan server di belakang Layer 7 reverse proxy atau peralatan keamanan setara yang menerapkan autentikasi dan memeriksa permintaan .
Blokir akses eksternal ke SharePoint Central Administration — antarmuka administratif ini tidak boleh dijangkau dari internet .
Aktifkan dan verifikasi integrasi Antimalware Scan Interface (AMSI) untuk setiap aplikasi web SharePoint .
Rotasi kunci IIS (IIS machine keys) jika ada tanda-tanda kompromi, dan lakukan audit untuk artefak intrusi sebelum merotasi kredensial yang dicuri .
Bangun logging dan pemantauan yang disesuaikan untuk mendeteksi pola autentikasi yang tidak wajar, dan tinjau log autentikasi dan izin untuk periode sebelum penerapan patch .
Konteks Eksploitasi yang Lebih Luas: Tiga CVE Lain yang Sedang Dieksploitasi
CVE-2026-55040 bukanlah insiden yang berdiri sendiri. Pada hari yang sama saat tambalan dikirimkan, CISA mengonfirmasi eksploitasi aktif terhadap tiga CVE SharePoint tambahan:
CVE-2026-32201 (CVSS 6.5) — Kerentanan spoofing akibat validasi input yang tidak tepat, telah dieksploitasi setidaknya sejak April 2026 .
CVE-2026-45659 (CVSS 8.8) — Eksekusi kode jarak jauh melalui deserialisasi data yang tidak tepercaya. Per 11 Agustus 2026, CISA mengonfirmasi bahwa geng ransomware telah mulai menyalahgunakan celah ini .
CVE-2026-56164 (CVSS 5.3, tetapi dapat dieksploitasi dari jarak jauh tanpa autentikasi) — Kerentanan peningkatan hak istimewa yang dirangkai dalam serangan untuk mencuri kunci IIS dan mendapatkan akses persisten .
Para penyerang merangkai kerentanan-kerentanan ini: menggunakan CVE-2026-32201 untuk akses awal, CVE-2026-45659 atau CVE-2026-56164 untuk eksekusi kode, dan CVE-2026-55040 sebagai pengganda kekuatan untuk bypass autentikasi . Kampanye eksploitasi terkoordinasi ini disebut sebagai "SharePoint chain" oleh beberapa peneliti .
Celah ini, yang mendapat skor CVSS 9.1 (Critical), memungkinkan penyerang jarak jauh tanpa autentikasi untuk memalsukan JSON Web Token (JWT) dan menyamar sebagai pengguna SharePoint mana pun, termasuk administrator situs, tanpa perlu kata sandi atau sesi yang valid .
Microsoft telah merilis tambalan untuk kerentanan ini dalam Patch Tuesday Juli 2026, yang memengaruhi SharePoint Server Subscription Edition, 2019, dan 2016 Enterprise . Namun, pemindaian di seluruh internet menunjukkan bahwa lebih dari 8.500 server SharePoint masih terbuka dan dapat diakses dari internet, sehingga celah ini masih menjadi ancaman besar .
Akar masalahnya adalah kelemahan autentikasi (CWE-1390) dalam proses validasi JWT SharePoint. Menurut Rapid7 yang menemukan bug ini, kerentanan berasal dari beberapa kelemahan berbeda pada kelas SPJsonWebSecurityTokenHandlerV2 dan SPJsonWebSecurityBaseTokenHandlerV2 yang bertugas mem-parsing token Bearer untuk komunikasi antar-layanan .
Penyerang dapat mengirimkan token JWT yang telah dimanipulasi, dan server akan mempercayainya tanpa verifikasi kriptografi yang memadai. Ini secara efektif memungkinkan penyerang untuk mengambil alih identitas pengguna mana pun .
Microsoft mendeskripsikan celah ini dengan sederhana: "Fitur autentikasi dapat dilewati karena kerentanan ini memungkinkan peniruan identitas" . Eksploitasi ini memungkinkan penyerang untuk menampilkan dan memodifikasi data, meskipun Microsoft menyatakan tidak akan memengaruhi ketersediaan sistem .
Kronologi Pengungkapan dan Senjata Siber
14 Juli 2026: Microsoft dan Rapid7 mengungkapkan CVE-2026-55040 dan merilis tambalan .
10 Agustus 2026: Rapid7 mempublikasikan analisis teknis mendetail tentang kerentanan ini .
12 Agustus 2026: Rapid7 merilis PoC eksploitasi publik sebagai skrip Python .
Beberapa hari setelah 12 Agustus: Penyerang mulai mempersenjatai dan mengeksploitasi celah ini secara aktif di dunia maya .
Peneliti Rapid7, Stephen Fewer, yang menemukan celah ini, mencatat bahwa ini adalah bagian pertama dari rantai dua kerentanan yang, jika digabungkan dengan celah kedua yang masih dirahasiakan, dapat mencapai eksekusi kode jarak jauh tanpa autentikasi pada server SharePoint yang rentan .
Panduan Mitigasi CISA
Badan Keamanan Siber dan Infrastruktur AS (CISA) telah mengeluarkan panduan pengamanan mendesak pada 14-15 Juli 2026, dan memperbaruinya seiring eskalasi eksploitasi . Organisasi yang menjalankan SharePoint on-premises harus segera mengambil tindakan berikut:
Terapkan pembaruan kumulatif Juli 2026 ke semua server SharePoint di farm. Pastikan instalasi berhasil melalui SharePoint Products Configuration Wizard atau PowerShell — hanya menjalankan Windows Update tidak menjamin servis penuh . Pembaruan spesifik termasuk KB 5002891/KB 5002892 untuk SharePoint 2016 dan KB 5002883 untuk SharePoint 2019 .
Jangan biarkan server SharePoint terpapar langsung ke internet. Jika akses internet diperlukan, tempatkan server di belakang Layer 7 reverse proxy atau peralatan keamanan setara yang menerapkan autentikasi dan memeriksa permintaan .
Blokir akses eksternal ke SharePoint Central Administration — antarmuka administratif ini tidak boleh dijangkau dari internet .
Aktifkan dan verifikasi integrasi Antimalware Scan Interface (AMSI) untuk setiap aplikasi web SharePoint .
Rotasi kunci IIS (IIS machine keys) jika ada tanda-tanda kompromi, dan lakukan audit untuk artefak intrusi sebelum merotasi kredensial yang dicuri .
Bangun logging dan pemantauan yang disesuaikan untuk mendeteksi pola autentikasi yang tidak wajar, dan tinjau log autentikasi dan izin untuk periode sebelum penerapan patch .
Konteks Eksploitasi yang Lebih Luas: Tiga CVE Lain yang Sedang Dieksploitasi
CVE-2026-55040 bukanlah insiden yang berdiri sendiri. Pada hari yang sama saat tambalan dikirimkan, CISA mengonfirmasi eksploitasi aktif terhadap tiga CVE SharePoint tambahan:
CVE-2026-32201 (CVSS 6.5) — Kerentanan spoofing akibat validasi input yang tidak tepat, telah dieksploitasi setidaknya sejak April 2026 .
CVE-2026-45659 (CVSS 8.8) — Eksekusi kode jarak jauh melalui deserialisasi data yang tidak tepercaya. Per 11 Agustus 2026, CISA mengonfirmasi bahwa geng ransomware telah mulai menyalahgunakan celah ini .
CVE-2026-56164 (CVSS 5.3, tetapi dapat dieksploitasi dari jarak jauh tanpa autentikasi) — Kerentanan peningkatan hak istimewa yang dirangkai dalam serangan untuk mencuri kunci IIS dan mendapatkan akses persisten .
Para penyerang merangkai kerentanan-kerentanan ini: menggunakan CVE-2026-32201 untuk akses awal, CVE-2026-45659 atau CVE-2026-56164 untuk eksekusi kode, dan CVE-2026-55040 sebagai pengganda kekuatan untuk bypass autentikasi . Kampanye eksploitasi terkoordinasi ini disebut sebagai "SharePoint chain" oleh beberapa peneliti .
