CVE-2026-55040: Il punto di ingresso più pericoloso per SharePoint nel 2026

Quali versioni di SharePoint sono interessate?

Tutte le edizioni on-premises di SharePoint Server attualmente supportate sono vulnerabili:

• SharePoint Server 2016
• SharePoint Server 2019
• SharePoint Server Subscription Edition

SharePoint Online (Microsoft 365) non è interessato. La falla non ha impatto sugli ambienti cloud .

Come funziona lo sfruttamento

CVE-2026-55040 è classificata come CWE-1390: Autenticazione debole e risiede nella pipeline di validazione dei JSON Web Token (JWT) di SharePoint . Rapid7 ha descritto la causa principale come "una catena di quattro distinte debolezze" nella logica di validazione dei token . Un utente malintenzionato con accesso di rete a un server vulnerabile può presentare un JWT contraffatto che il server accetta come valido, consentendogli di impersonare qualsiasi utente noto del sito .

Se l'aggressore identifica un account con diritti amministrativi — tramite il nome utente di Active Directory o l'indirizzo email — ottiene l'accesso amministrativo completo alla farm di SharePoint . Da quella posizione, la falla può essere concatenata con una vulnerabilità separata di esecuzione remota di codice non ancora patchata per ottenere RCE completa non autenticata .

La risposta di Microsoft

Microsoft ha corretto CVE-2026-55040 negli aggiornamenti del Patch Tuesday di luglio 2026, rilasciati il 14 luglio 2026 . L'avviso dell'azienda affermava: "La funzionalità di autenticazione potrebbe essere bypassata poiché questa vulnerabilità consente l'impersonificazione. Lo sfruttamento di questa vulnerabilità potrebbe portare al bypass dell'autenticazione."

Microsoft ha valutato che la falla consente a un aggressore di "divulgare file e modificare dati, ma l'aggressore non può compromettere la disponibilità del sistema" .

L'avviso di CISA e le indicazioni aggiornate

L'avviso di CISA del 14 luglio 2026 (AA26-196A) ha sollecitato un rafforzamento immediato di SharePoint. A quel tempo, CISA confermava lo sfruttamento attivo di altre tre vulnerabilità di SharePoint — CVE-2026-32201, CVE-2026-45659 e CVE-2026-56164 — e elencava CVE-2026-55040 come appena divulgata ma non ancora nota come sfruttata . Dopo il rilascio del PoC da parte di Rapid7, lo sfruttamento attivo è seguito rapidamente e il catalogo KEV (Known Exploited Vulnerabilities) aggiornato di CISA include ora CVE-2026-55040 .

Anche il Centro per la Sicurezza Informatica canadese ha emesso l'avviso AL26-017, aggiungendo CVE-2026-55040 al suo elenco di vulnerabilità di SharePoint a impatto critico .

Mitigazione: nessuna soluzione alternativa — applicare subito la patch

L'unica mitigazione efficace è applicare immediatamente gli aggiornamenti del Patch Tuesday di luglio 2026. Non esiste alcuna soluzione alternativa o modifica della configurazione in grado di bloccare questa vulnerabilità senza la patch .

Ulteriori raccomandazioni di hardening da parte di Microsoft e CISA includono:

• Limitare l'accesso di rete ai server SharePoint
• Verificare la presenza di segni di attività post-sfruttamento
• Monitorare l'utilizzo non autorizzato di token JWT

Contesto più ampio: l'ondata di sfruttamento di SharePoint nel 2026

CVE-2026-55040 non è un caso isolato. Durante tutto il 2026, gli aggressori hanno concatenato più vulnerabilità di SharePoint in campagne coordinate — utilizzando un vettore di accesso iniziale come CVE-2026-55040 per ottenere un punto d'appoggio, per poi passare all'escalation dei privilegi o alla RCE per distribuire ransomware o spostarsi lateralmente nell'azienda . CISA ha avvertito che i gruppi ransomware stanno ora abusando di queste vulnerabilità di SharePoint .

Le seguenti CVE sono state tutte aggiunte al catalogo KEV di CISA nel 2026:

Fonti:

Il messaggio chiave: CVE-2026-55040 è il punto di ingresso più pericoloso in questa catena perché richiede zero autenticazione o interazione da parte dell'utente. In combinazione con le altre CVE sfruttate, qualsiasi server SharePoint on-premises non patchato è un bersaglio interessante. Applicare gli aggiornamenti di luglio 2026 è l'azione difensiva più critica che un'organizzazione possa intraprendere.