CVE-2026-55040: elusione dell'autenticazione JWT su SharePoint sotto attacco

Come funziona CVE-2026-55040: un errore nella validazione dei JWT

La causa principale è un difetto di autenticazione debole (CWE-1390) nella pipeline di validazione dei JWT di SharePoint. Secondo Rapid7, che ha scoperto il bug, la vulnerabilità deriva da diverse debolezze distinte nel modo in cui le classi SPJsonWebSecurityTokenHandlerV2 e SPJsonWebSecurityBaseTokenHandlerV2 di SharePoint analizzano i token Bearer per comunicazioni da servizio a servizio . Un attaccante può inviare un JWT appositamente modificato che il server considera affidabile senza una corretta verifica crittografica, assumendo di fatto l'identità di qualsiasi utente del sito SharePoint o amministratore della farm .

Microsoft ha descritto la falla in modo semplice: "La funzione di autenticazione può essere elusa poiché questa vulnerabilità consente l'impersonificazione" . Lo sfruttamento permette a un attaccante di divulgare file e modificare dati, ma Microsoft afferma che non può compromettere la disponibilità del sistema .

Tempistiche di divulgazione e weaponizzazione

• 14 luglio 2026: Microsoft e Rapid7 divulgano CVE-2026-55040 e pubblicano le patch .
• 10 agosto 2026: Rapid7 pubblica un'analisi tecnica dettagliata della vulnerabilità .
• 12 agosto 2026: Rapid7 rilascia un PoC pubblico sotto forma di script Python .
• Entro pochi giorni dal 12 agosto: gli attaccanti iniziano a weaponizzare attivamente l'exploit in attacchi reali .

Il ricercatore di Rapid7 Stephen Fewer ha scoperto la falla, sottolineando che si tratta del primo di una catena di due vulnerabilità che, se combinata con un secondo difetto (ancora sotto embargo), può ottenere l'esecuzione di codice in remoto non autenticata contro server SharePoint vulnerabili .

Linee guida di mitigazione della CISA

La CISA (l'agenzia per la cybersicurezza e la sicurezza delle infrastrutture statunitense) ha pubblicato indicazioni urgenti per l'hardening il 14-15 luglio 2026, aggiornandole con l'escalation degli attacchi . Le organizzazioni che utilizzano SharePoint on-premise devono adottare immediatamente le seguenti misure:

• Applicare gli aggiornamenti cumulativi di luglio 2026 a tutti i server SharePoint della farm. Verificare l'avvenuta installazione tramite la Configurazione guidata prodotti SharePoint o PowerShell: un semplice aggiornamento di Windows Update non garantisce la corretta applicazione . Gli aggiornamenti specifici includono KB 5002891/KB 5002892 per SharePoint 2016 e KB 5002883 per SharePoint 2019 .
• Non esporre i server SharePoint direttamente su Internet. Se è necessario l'accesso da Internet, posizionare il server dietro un proxy inverso di livello 7 o un appliance di sicurezza a livello applicativo equivalente che richieda l'autenticazione e ispezioni le richieste .
• Bloccare l'accesso esterno a SharePoint Central Administration: questa interfaccia amministrativa non deve mai essere raggiungibile da Internet .
• Abilitare e verificare l'integrazione di Antimalware Scan Interface (AMSI) per ogni applicazione Web SharePoint .
• Ruotare le chiavi IIS del computer in caso di qualsiasi segno di compromissione e verificare la presenza di manufatti di intrusione prima di ruotare le credenziali sottratte .
• Implementare sistemi di registrazione e monitoraggio personalizzati per rilevare pattern di autenticazione anomali ed esaminare i log di autenticazione e autorizzazione per il periodo precedente all'applicazione della patch .

Contesto di sfruttamento più ampio: altre tre CVE sotto attacco

CVE-2026-55040 non è un caso isolato. Lo stesso giorno del rilascio delle patch, la CISA ha confermato lo sfruttamento attivo di altre tre vulnerabilità SharePoint :

• CVE-2026-32201 (CVSS 6,5) — Una vulnerabilità di spoofing dovuta a una convalida impropria dell'input, sfruttata almeno da aprile 2026 .
• CVE-2026-45659 (CVSS 8,8) — Esecuzione di codice in remoto tramite deserializzazione di dati non attendibili. A partire dall'11 agosto 2026, la CISA ha confermato che i gruppi ransomware hanno iniziato ad abusare di questa falla .
• CVE-2026-56164 (CVSS 5,3, ma sfruttabile in remoto senza autenticazione) — Una vulnerabilità di escalation dei privilegi utilizzata attivamente in attacchi concatenati per rubare le chiavi IIS e ottenere accesso persistente .

Gli attaccanti stanno concatenando queste vulnerabilità: utilizzano CVE-2026-32201 per l'accesso iniziale, CVE-2026-45659 o CVE-2026-56164 per l'esecuzione di codice e CVE-2026-55040 come moltiplicatore di forza per l'elusione dell'autenticazione . La campagna di sfruttamento coordinata è stata soprannominata "SharePoint chain" da alcuni ricercatori .