Microsoft telah menambal kelemahan ini dalam kemas kini Patch Tuesday Julai 14, 2026, yang menjejaskan SharePoint Server Subscription Edition, 2019, dan 2016 Enterprise . Namun, dengan lebih daripada 8,500 pelayan SharePoint masih terdedah dalam talian menurut imbasan internet, tingkap untuk penyerang masih terbuka luas .

Bagaimana CVE-2026-55040 Berfungsi: Kegagalan Pengesahan JWT

Punca utama adalah kelemahan pengesahan yang lemah (CWE-1390) dalam saluran paip pengesahan JWT SharePoint. Menurut Rapid7 yang menemui bug ini, kelemahan ini berpunca daripada beberapa kelemahan yang berbeza dalam cara kelas SPJsonWebSecurityTokenHandlerV2 dan SPJsonWebSecurityBaseTokenHandlerV2 SharePoint menghuraikan token Bearer perkhidmatan-ke-perkhidmatan . Penyerang boleh menghantar JWT yang direka bentuk yang dipercayai oleh pelayan tanpa pengesahan kriptografi yang betul, dengan berkesan membolehkan mereka menyamar sebagai identiti mana-mana pengguna laman SharePoint atau pentadbir ladang .

Microsoft menggambarkan kelemahan ini dengan mudah: "Ciri pengesahan boleh dipintas kerana kelemahan ini membenarkan penyamaran" . Eksploitasi membolehkan penyerang mendedahkan fail dan mengubah suai data, walaupun Microsoft menyatakan ia tidak boleh memberi kesan kepada ketersediaan sistem .

Garis Masa Pendedahan dan Persenjataan

• 14 Julai, 2026: Microsoft dan Rapid7 mendedahkan CVE-2026-55040 dan mengeluarkan tampalan .
• 10 Ogos, 2026: Rapid7 menerbitkan analisis teknikal terperinci kelemahan .
• 12 Ogos, 2026: Rapid7 mengeluarkan PoC eksploitasi awam sebagai skrip Python .
• Dalam beberapa hari selepas 12 Ogos: Penyerang mula giat mempersenjatai eksploitasi ini di alam liar .

Penyelidik Rapid7, Stephen Fewer, menemui kelemahan ini, mencatatkan bahawa ia adalah yang pertama dalam rantaian dua kelemahan yang, apabila digabungkan dengan kelemahan kedua (yang masih dirahsiakan), boleh mencapai pelaksanaan kod jauh tanpa pengesahan terhadap pelayan SharePoint yang terdedah .

Panduan Mitigasi CISA

CISA mengeluarkan panduan pengerasan segera pada 14-15 Julai, 2026, dan mengemas kininya apabila eksploitasi meningkat . Organisasi yang menjalankan SharePoint di premis harus mengambil tindakan berikut dengan segera:

• Gunakan kemas kini terkumpul Julai 2026 pada semua pelayan SharePoint dalam ladang. Sahkan pemasangan yang berjaya melalui Wizard Konfigurasi Produk SharePoint atau PowerShell — kemas kini Windows sahaja tidak menjamin perkhidmatan penuh . Kemas kini khusus termasuk KB 5002891/KB 5002892 untuk SharePoint 2016 dan KB 5002883 untuk SharePoint 2019 .
• Jangan dedahkan pelayan SharePoint terus ke internet. Jika akses internet diperlukan, letakkan pelayan di belakang proksi songsang Lapisan 7 atau peralatan keselamatan lapisan aplikasi setara yang menguatkuasakan pengesahan dan memeriksa permintaan .
• Sekat akses luaran ke Pentadbiran Pusat SharePoint — antara muka pentadbiran ini tidak boleh dicapai dari internet .
• Dayakan dan sahkan integrasi Antimalware Scan Interface (AMSI) untuk setiap aplikasi web SharePoint .
• Putar kunci mesin IIS jika terdapat sebarang tanda kompromi, dan audit untuk artifak pencerobohan sebelum memutar kelayakan yang dicuri .
• Wujudkan logging dan pemantauan yang disesuaikan untuk mengesan corak pengesahan yang tidak normal, dan semak log pengesahan dan kebenaran untuk tempoh sebelum penggunaan tampalan .

Konteks Eksploitasi Lebih Luas: Tiga CVE Lain di Bawah Serangan Aktif

CVE-2026-55040 bukanlah insiden terpencil. Pada hari yang sama tampalan dihantar, CISA mengesahkan eksploitasi aktif tiga CVE SharePoint tambahan :

• CVE-2026-32201 (CVSS 6.5) — Kelemahan spoofing daripada pengesahan input yang tidak betul, dieksploitasi sejak sekurang-kurangnya April 2026 .
• CVE-2026-45659 (CVSS 8.8) — Pelaksanaan kod jauh melalui nyah-siri data yang tidak dipercayai. Sehingga 11 Ogos, 2026, CISA mengesahkan bahawa kumpulan ransomware telah mula menyalahgunakan kelemahan ini .
• CVE-2026-56164 (CVSS 5.3, tetapi boleh dieksploitasi dari jauh tanpa pengesahan) — Kelemahan eskalasi keistimewaan yang dirantai dalam serangan untuk mencuri kunci mesin IIS dan mencapai akses berterusan .

Penyerang merantai kelemahan ini bersama-sama: menggunakan CVE-2026-32201 untuk akses awal, CVE-2026-45659 atau CVE-2026-56164 untuk pelaksanaan kod, dan CVE-2026-55040 sebagai pengganda daya untuk pintasan pengesahan . Kempen eksploitasi yang diselaraskan ini telah digelar "rantaian SharePoint" oleh beberapa penyelidik .

Microsoft telah menambal kelemahan ini dalam kemas kini Patch Tuesday Julai 14, 2026, yang menjejaskan SharePoint Server Subscription Edition, 2019, dan 2016 Enterprise . Namun, dengan lebih daripada 8,500 pelayan SharePoint masih terdedah dalam talian menurut imbasan internet, tingkap untuk penyerang masih terbuka luas .

Bagaimana CVE-2026-55040 Berfungsi: Kegagalan Pengesahan JWT

Punca utama adalah kelemahan pengesahan yang lemah (CWE-1390) dalam saluran paip pengesahan JWT SharePoint. Menurut Rapid7 yang menemui bug ini, kelemahan ini berpunca daripada beberapa kelemahan yang berbeza dalam cara kelas SPJsonWebSecurityTokenHandlerV2 dan SPJsonWebSecurityBaseTokenHandlerV2 SharePoint menghuraikan token Bearer perkhidmatan-ke-perkhidmatan . Penyerang boleh menghantar JWT yang direka bentuk yang dipercayai oleh pelayan tanpa pengesahan kriptografi yang betul, dengan berkesan membolehkan mereka menyamar sebagai identiti mana-mana pengguna laman SharePoint atau pentadbir ladang .

Microsoft menggambarkan kelemahan ini dengan mudah: "Ciri pengesahan boleh dipintas kerana kelemahan ini membenarkan penyamaran" . Eksploitasi membolehkan penyerang mendedahkan fail dan mengubah suai data, walaupun Microsoft menyatakan ia tidak boleh memberi kesan kepada ketersediaan sistem .

Garis Masa Pendedahan dan Persenjataan

• 14 Julai, 2026: Microsoft dan Rapid7 mendedahkan CVE-2026-55040 dan mengeluarkan tampalan .
• 10 Ogos, 2026: Rapid7 menerbitkan analisis teknikal terperinci kelemahan .
• 12 Ogos, 2026: Rapid7 mengeluarkan PoC eksploitasi awam sebagai skrip Python .
• Dalam beberapa hari selepas 12 Ogos: Penyerang mula giat mempersenjatai eksploitasi ini di alam liar .

Penyelidik Rapid7, Stephen Fewer, menemui kelemahan ini, mencatatkan bahawa ia adalah yang pertama dalam rantaian dua kelemahan yang, apabila digabungkan dengan kelemahan kedua (yang masih dirahsiakan), boleh mencapai pelaksanaan kod jauh tanpa pengesahan terhadap pelayan SharePoint yang terdedah .

Panduan Mitigasi CISA

CISA mengeluarkan panduan pengerasan segera pada 14-15 Julai, 2026, dan mengemas kininya apabila eksploitasi meningkat . Organisasi yang menjalankan SharePoint di premis harus mengambil tindakan berikut dengan segera:

• Gunakan kemas kini terkumpul Julai 2026 pada semua pelayan SharePoint dalam ladang. Sahkan pemasangan yang berjaya melalui Wizard Konfigurasi Produk SharePoint atau PowerShell — kemas kini Windows sahaja tidak menjamin perkhidmatan penuh . Kemas kini khusus termasuk KB 5002891/KB 5002892 untuk SharePoint 2016 dan KB 5002883 untuk SharePoint 2019 .
• Jangan dedahkan pelayan SharePoint terus ke internet. Jika akses internet diperlukan, letakkan pelayan di belakang proksi songsang Lapisan 7 atau peralatan keselamatan lapisan aplikasi setara yang menguatkuasakan pengesahan dan memeriksa permintaan .
• Sekat akses luaran ke Pentadbiran Pusat SharePoint — antara muka pentadbiran ini tidak boleh dicapai dari internet .
• Dayakan dan sahkan integrasi Antimalware Scan Interface (AMSI) untuk setiap aplikasi web SharePoint .
• Putar kunci mesin IIS jika terdapat sebarang tanda kompromi, dan audit untuk artifak pencerobohan sebelum memutar kelayakan yang dicuri .
• Wujudkan logging dan pemantauan yang disesuaikan untuk mengesan corak pengesahan yang tidak normal, dan semak log pengesahan dan kebenaran untuk tempoh sebelum penggunaan tampalan .

Konteks Eksploitasi Lebih Luas: Tiga CVE Lain di Bawah Serangan Aktif

CVE-2026-55040 bukanlah insiden terpencil. Pada hari yang sama tampalan dihantar, CISA mengesahkan eksploitasi aktif tiga CVE SharePoint tambahan :

• CVE-2026-32201 (CVSS 6.5) — Kelemahan spoofing daripada pengesahan input yang tidak betul, dieksploitasi sejak sekurang-kurangnya April 2026 .
• CVE-2026-45659 (CVSS 8.8) — Pelaksanaan kod jauh melalui nyah-siri data yang tidak dipercayai. Sehingga 11 Ogos, 2026, CISA mengesahkan bahawa kumpulan ransomware telah mula menyalahgunakan kelemahan ini .
• CVE-2026-56164 (CVSS 5.3, tetapi boleh dieksploitasi dari jauh tanpa pengesahan) — Kelemahan eskalasi keistimewaan yang dirantai dalam serangan untuk mencuri kunci mesin IIS dan mencapai akses berterusan .

Penyerang merantai kelemahan ini bersama-sama: menggunakan CVE-2026-32201 untuk akses awal, CVE-2026-45659 atau CVE-2026-56164 untuk pelaksanaan kod, dan CVE-2026-55040 sebagai pengganda daya untuk pintasan pengesahan . Kempen eksploitasi yang diselaraskan ini telah digelar "rantaian SharePoint" oleh beberapa penyelidik .