CVE-2026-55040: Celah Kritis Otentikasi SharePoint Dieksploitasi Hacker, Ribuan Server Masih Terpapar

Hanya beberapa hari setelah perusahaan keamanan siber Rapid7 menerbitkan bukti konsep (Proof-of-Concept/PoC) eksploitasi secara publik, para peretas langsung bergerak menyerang server Microsoft SharePoint on-premises yang belum di-patch menggunakan kerentanan kritis CVE-2026-55040.

Celah ini, yang mendapat skor CVSS 9.1 (Critical), memungkinkan penyerang jarak jauh tanpa autentikasi untuk memalsukan JSON Web Token (JWT) dan menyamar sebagai pengguna SharePoint mana pun, termasuk administrator situs, tanpa perlu kata sandi atau sesi yang valid .

Microsoft telah merilis tambalan untuk kerentanan ini dalam Patch Tuesday Juli 2026, yang memengaruhi SharePoint Server Subscription Edition, 2019, dan 2016 Enterprise . Namun, pemindaian di seluruh internet menunjukkan bahwa lebih dari 8.500 server SharePoint masih terbuka dan dapat diakses dari internet, sehingga celah ini masih menjadi ancaman besar .

Bagaimana CVE-2026-55040 Bekerja: Kegagalan Validasi JWT

Akar masalahnya adalah kelemahan autentikasi (CWE-1390) dalam proses validasi JWT SharePoint. Menurut Rapid7 yang menemukan bug ini, kerentanan berasal dari beberapa kelemahan berbeda pada kelas SPJsonWebSecurityTokenHandlerV2 dan SPJsonWebSecurityBaseTokenHandlerV2 yang bertugas mem-parsing token Bearer untuk komunikasi antar-layanan .

Penyerang dapat mengirimkan token JWT yang telah dimanipulasi, dan server akan mempercayainya tanpa verifikasi kriptografi yang memadai. Ini secara efektif memungkinkan penyerang untuk mengambil alih identitas pengguna mana pun .

Microsoft mendeskripsikan celah ini dengan sederhana: "Fitur autentikasi dapat dilewati karena kerentanan ini memungkinkan peniruan identitas" . Eksploitasi ini memungkinkan penyerang untuk menampilkan dan memodifikasi data, meskipun Microsoft menyatakan tidak akan memengaruhi ketersediaan sistem .

Kronologi Pengungkapan dan Senjata Siber

• 14 Juli 2026: Microsoft dan Rapid7 mengungkapkan CVE-2026-55040 dan merilis tambalan .
• 10 Agustus 2026: Rapid7 mempublikasikan analisis teknis mendetail tentang kerentanan ini .
• 12 Agustus 2026: Rapid7 merilis PoC eksploitasi publik sebagai skrip Python .
• Beberapa hari setelah 12 Agustus: Penyerang mulai mempersenjatai dan mengeksploitasi celah ini secara aktif di dunia maya .

Peneliti Rapid7, Stephen Fewer, yang menemukan celah ini, mencatat bahwa ini adalah bagian pertama dari rantai dua kerentanan yang, jika digabungkan dengan celah kedua yang masih dirahasiakan, dapat mencapai eksekusi kode jarak jauh tanpa autentikasi pada server SharePoint yang rentan .

Panduan Mitigasi CISA

Badan Keamanan Siber dan Infrastruktur AS (CISA) telah mengeluarkan panduan pengamanan mendesak pada 14-15 Juli 2026, dan memperbaruinya seiring eskalasi eksploitasi . Organisasi yang menjalankan SharePoint on-premises harus segera mengambil tindakan berikut:

• Terapkan pembaruan kumulatif Juli 2026 ke semua server SharePoint di farm. Pastikan instalasi berhasil melalui SharePoint Products Configuration Wizard atau PowerShell — hanya menjalankan Windows Update tidak menjamin servis penuh . Pembaruan spesifik termasuk KB 5002891/KB 5002892 untuk SharePoint 2016 dan KB 5002883 untuk SharePoint 2019 .
• Jangan biarkan server SharePoint terpapar langsung ke internet. Jika akses internet diperlukan, tempatkan server di belakang Layer 7 reverse proxy atau peralatan keamanan setara yang menerapkan autentikasi dan memeriksa permintaan .
• Blokir akses eksternal ke SharePoint Central Administration — antarmuka administratif ini tidak boleh dijangkau dari internet .
• Aktifkan dan verifikasi integrasi Antimalware Scan Interface (AMSI) untuk setiap aplikasi web SharePoint .
• Rotasi kunci IIS (IIS machine keys) jika ada tanda-tanda kompromi, dan lakukan audit untuk artefak intrusi sebelum merotasi kredensial yang dicuri .
• Bangun logging dan pemantauan yang disesuaikan untuk mendeteksi pola autentikasi yang tidak wajar, dan tinjau log autentikasi dan izin untuk periode sebelum penerapan patch .

Konteks Eksploitasi yang Lebih Luas: Tiga CVE Lain yang Sedang Dieksploitasi

CVE-2026-55040 bukanlah insiden yang berdiri sendiri. Pada hari yang sama saat tambalan dikirimkan, CISA mengonfirmasi eksploitasi aktif terhadap tiga CVE SharePoint tambahan:

• CVE-2026-32201 (CVSS 6.5) — Kerentanan spoofing akibat validasi input yang tidak tepat, telah dieksploitasi setidaknya sejak April 2026 .
• CVE-2026-45659 (CVSS 8.8) — Eksekusi kode jarak jauh melalui deserialisasi data yang tidak tepercaya. Per 11 Agustus 2026, CISA mengonfirmasi bahwa geng ransomware telah mulai menyalahgunakan celah ini .
• CVE-2026-56164 (CVSS 5.3, tetapi dapat dieksploitasi dari jarak jauh tanpa autentikasi) — Kerentanan peningkatan hak istimewa yang dirangkai dalam serangan untuk mencuri kunci IIS dan mendapatkan akses persisten .

Para penyerang merangkai kerentanan-kerentanan ini: menggunakan CVE-2026-32201 untuk akses awal, CVE-2026-45659 atau CVE-2026-56164 untuk eksekusi kode, dan CVE-2026-55040 sebagai pengganda kekuatan untuk bypass autentikasi . Kampanye eksploitasi terkoordinasi ini disebut sebagai "SharePoint chain" oleh beberapa peneliti .