CVE-2026-55040: Kritieke SharePoint JWT-authenticatieomzeiling actief aangevallen

Aanvallers maken actief misbruik van een kritieke kwetsbaarheid die de authenticatie omzeilt in on-premises Microsoft SharePoint-servers, slechts enkele dagen nadat beveiligingsbedrijf Rapid7 een volledige proof-of-concept (PoC) exploit publiceerde. Het lek staat bekend als CVE-2026-55040 en heeft een CVSS-score van 9.1, wat het als 'kritiek' classificeert. Een niet-geauthenticeerde externe aanvaller kan hiermee JSON Web Tokens (JWTs) vervalsen en zich voordoen als elke SharePoint-gebruiker — inclusief site-beheerders — zonder wachtwoord of geldige sessie .

Microsoft verhelpt de kwetsbaarheid in de Patch Tuesday-updates van 14 juli 2026. Het probleem treft SharePoint Server Subscription Edition, 2019 en 2016 Enterprise . Hoewel de patch beschikbaar is, blijft het venster voor aanvallers wijd open omdat er volgens internet-brede scans nog meer dan 8.500 SharePoint-servers online staan .

Hoe CVE-2026-55040 Werkt: Een Fout in JWT-Validatie

De oorzaak is een zwakke authenticatie (CWE-1390) in de JWT-validatieketen van SharePoint. Volgens Rapid7, die de bug ontdekte, zit het probleem in verschillende afzonderlijke zwaktes in de manier waarop SharePoint's SPJsonWebSecurityTokenHandlerV2 en SPJsonWebSecurityBaseTokenHandlerV2 klassen Bearer service-to-service tokens verwerken . Een aanvaller kan een vervalst JWT sturen dat de server vertrouwt zonder de juiste cryptografische controle, waardoor hij de identiteit kan aannemen van elke SharePoint-sitegebruiker of -beheerder .

Microsoft omschrijft het probleem simpel: "De authenticatiefunctie kan worden omzeild omdat deze kwetsbaarheid imitatie mogelijk maakt" . Een geslaagde aanval stelt een aanvaller in staat bestanden in te zien en gegevens te wijzigen. Microsoft stelt echter dat de beschikbaarheid van het systeem niet wordt aangetast .

Tijdlijn van Openbaarmaking en Bewapening

• 14 juli 2026: Microsoft en Rapid7 maken CVE-2026-55040 bekend en brengen patches uit .
• 10 augustus 2026: Rapid7 publiceert een gedetailleerde technische analyse van de kwetsbaarheid .
• 12 augustus 2026: Rapid7 brengt een openbare PoC-exploit uit in de vorm van een Python-script .
• Binnen enkele dagen na 12 augustus: Aanvallers beginnen de exploit actief te gebruiken .

Rapid7-onderzoeker Stephen Fewer ontdekte het lek. Het is het eerste deel van een keten van twee kwetsbaarheden die, gecombineerd met een tweede (nog niet openbaar gemaakt) lek, kan leiden tot niet-geauthenticeerde externe code-uitvoering op kwetsbare SharePoint-servers .

Mitigatieadvies van CISA

CISA gaf op 14 en 15 juli 2026 dringend hardeningsadvies en heeft dit bijgesteld naarmate de aanvallen toenamen . Organisaties die on-premises SharePoint draaien, moeten onmiddellijk de volgende stappen ondernemen:

• Pas de cumulatieve updates van juli 2026 toe op alle SharePoint-servers in de farm. Controleer of de installatie is gelukt via de SharePoint Products Configuration Wizard of PowerShell. Een Windows Update alleen garandeert geen volledige installatie . Specifieke updates zijn onder andere KB 5002891/KB 5002892 voor SharePoint 2016 en KB 5002883 voor SharePoint 2019 .
• Stel SharePoint-servers niet rechtstreeks bloot aan het internet. Als internettoegang noodzakelijk is, plaats de server dan achter een Layer 7 reverse proxy of een gelijkwaardig beveiligingsapparaat dat authenticatie afdwingt en verzoeken inspecteert .
• Blokkeer externe toegang tot SharePoint Central Administration — deze beheerinterface mag nooit vanaf het internet bereikbaar zijn .
• Schakel de Antimalware Scan Interface (AMSI) in en controleer deze voor elke SharePoint-webapplicatie .
• Roteer IIS-machinekeys bij enig teken van compromittering, en controleer op inbraaksporen voordat gestolen inloggegevens worden geroteerd .
• Stel specifieke logging en monitoring in om afwijkende authenticatiepatronen te detecteren en controleer authenticatie- en machtigingslogboeken over de periode voorafgaand aan het installeren van de patches .

Context van de Brede Aanvalsgolf: Drie Andere CVEs Worden Actief Misbruikt

CVE-2026-55040 is geen op zichzelf staand incident. Op dezelfde dag dat de patches werden uitgebracht, bevestigde CISA actief misbruik van drie andere SharePoint-kwetsbaarheden :

• CVE-2026-32201 (CVSS 6.5) — Een spoofing-kwetsbaarheid als gevolg van onjuiste invoervalidatie, die sinds ten minste april 2026 wordt misbruikt .
• CVE-2026-45659 (CVSS 8.8) — Externe code-uitvoering via deserialisatie van niet-vertrouwde gegevens. Vanaf 11 augustus 2026 bevestigt CISA dat ransomware-bendes dit lek misbruiken .
• CVE-2026-56164 (CVSS 5.3, maar zonder authenticatie op afstand te misbruiken) — Een privilege-escalatielek dat actief wordt gebruikt in aanvallen om IIS-machinekeys te stelen en blijvende toegang te krijgen .

Aanvallers combineren deze kwetsbaarheden: CVE-2026-32201 wordt gebruikt voor eerste toegang, CVE-2026-45659 of CVE-2026-56164 voor code-uitvoering en CVE-2026-55040 fungeert als krachtversterker voor authenticatie-omzeiling . Sommige onderzoekers noemen deze gecoördineerde aanvalscampagne de "SharePoint-keten" .