Microsoft lappet sårbarheten i sin Patch Tuesday-oppdatering 14. juli 2026, og oppdateringen påvirker SharePoint Server Subscription Edition, 2019 og 2016 Enterprise . Men med over 8 500 SharePoint-servere fortsatt eksponert på nettet, ifølge internettskannede data, er angrepsvinduet fortsatt vidåpent .

Hvordan CVE-2026-55040 fungerer: En JWT-valideringsfeil

Rotårsaken er en svak autentiseringsfeil (CWE-1390) i SharePoints JWT-valideringskjede. Ifølge Rapid7, som oppdaget feilen, skyldes sårbarheten flere distinkte svakheter i hvordan SharePoint-klassene SPJsonWebSecurityTokenHandlerV2 og SPJsonWebSecurityBaseTokenHandlerV2 analyserer Bearer-tjeneste-til-tjeneste-tokens . En angriper kan sende en konstruert JWT som serveren stoler på uten skikkelig kryptografisk verifisering, noe som effektivt lar dem overta identiteten til en hvilken som helst SharePoint-bruker eller farm-administrator .

Microsoft beskrev feilen enkelt: «Autentiseringsfunksjonen kunne omgås ettersom denne sårbarheten tillater imitasjon» . Utnyttelse gjør at en angriper kan avsløre filer og endre data, men Microsoft uttaler at den ikke kan påvirke systemtilgjengeligheten .

Avslørings- og våpeniseringsforløp

• 14. juli 2026: Microsoft og Rapid7 avslører CVE-2026-55040 og lanserer lapper .
• 10. august 2026: Rapid7 publiserer en detaljert teknisk analyse av sårbarheten .
• 12. august 2026: Rapid7 slipper en offentlig utnyttelseskode som et Python-skript .
• Innen få dager etter 12. august: Angripere begynner å utnytte sårbarheten aktivt .

Rapid7-forsker Stephen Fewer oppdaget feilen og påpeker at den er den første i en kjede av to sårbarheter som, når de kombineres med en annen (fortumlet) feil, kan oppnå uautentisert ekstern kodekjøring mot sårbare SharePoint-servere .

CISAs veiledning for begrensning

CISA utstedte akutt sikkerhetsveiledning 14.–15. juli 2026 og oppdaterte den etter hvert som angrepene eskalerte . Organisasjoner som kjører lokale SharePoint-installasjoner, bør iverksette følgende tiltak umiddelbart:

• Installer juli 2026-kumulative oppdateringer på alle SharePoint-servere i farmen. Bekreft vellykket installasjon via SharePoint Products Configuration Wizard eller PowerShell – en Windows Update alene garanterer ikke full service . Spesifikke oppdateringer inkluderer KB 5002891/KB 5002892 for SharePoint 2016 og KB 5002883 for SharePoint 2019 .
• Ikke eksponer SharePoint-servere direkte for internett. Hvis internettilgang er nødvendig, plasser serveren bak en lag 7-reversproxy eller tilsvarende applikasjonssikkerhetsenhet som håndhever autentisering og inspiserer forespørsler .
• Blokker ekstern tilgang til SharePoint Central Administration – dette administrative grensesnittet bør aldri være tilgjengelig fra internett .
• Aktiver og verifiser Antimalware Scan Interface (AMSI)-integrasjon for hver SharePoint-nettapplikasjon .
• Roter IIS-maskinnøkler hvis det er tegn på kompromittering, og revider for inntrengingsartefakter før du roterer stjålne legitimasjonsopplysninger .
• Etabler skreddersydd logging og overvåking for å oppdage unormale autentiseringsmønstre, og gjennomgå autentiserings- og tilgangslogger for perioden før lappinstallasjon .

Bredere utnyttelseskontekst: Tre andre CVE-er under aktivt angrep

CVE-2026-55040 er ikke en isolert hendelse. Samme dag som lappene ble sendt, bekreftet CISA aktiv utnyttelse av tre andre SharePoint-sårbarheter :

• CVE-2026-32201 (CVSS 6,5) – En forfalskningssårbarhet som skyldes feil validering av inndata, utnyttet siden minst april 2026 .
• CVE-2026-45659 (CVSS 8,8) – Ekstern kodekjøring via deserialisering av upålitelige data. Per 11. august 2026 bekreftet CISA at løsepengevirusgrupper har begynt å utnytte denne feilen .
• CVE-2026-56164 (CVSS 5,3, men utnyttbar eksternt uten autentisering) – En rettighetsutvidelsesfeil som blir aktivt lenket i angrep for å stjele IIS-maskinnøkler og oppnå vedvarende tilgang .

Angripere lenker disse sårbarhetene sammen: De bruker CVE-2026-32201 for innledende tilgang, CVE-2026-45659 eller CVE-2026-56164 for kodekjøring, og CVE-2026-55040 som en kraftmultiplikator for autentiseringsomgåelse . Den koordinerte utnyttelseskampanjen har blitt kalt «SharePoint-kjeden» av noen forskere .

Microsoft lappet sårbarheten i sin Patch Tuesday-oppdatering 14. juli 2026, og oppdateringen påvirker SharePoint Server Subscription Edition, 2019 og 2016 Enterprise . Men med over 8 500 SharePoint-servere fortsatt eksponert på nettet, ifølge internettskannede data, er angrepsvinduet fortsatt vidåpent .

Hvordan CVE-2026-55040 fungerer: En JWT-valideringsfeil

Rotårsaken er en svak autentiseringsfeil (CWE-1390) i SharePoints JWT-valideringskjede. Ifølge Rapid7, som oppdaget feilen, skyldes sårbarheten flere distinkte svakheter i hvordan SharePoint-klassene SPJsonWebSecurityTokenHandlerV2 og SPJsonWebSecurityBaseTokenHandlerV2 analyserer Bearer-tjeneste-til-tjeneste-tokens . En angriper kan sende en konstruert JWT som serveren stoler på uten skikkelig kryptografisk verifisering, noe som effektivt lar dem overta identiteten til en hvilken som helst SharePoint-bruker eller farm-administrator .

Microsoft beskrev feilen enkelt: «Autentiseringsfunksjonen kunne omgås ettersom denne sårbarheten tillater imitasjon» . Utnyttelse gjør at en angriper kan avsløre filer og endre data, men Microsoft uttaler at den ikke kan påvirke systemtilgjengeligheten .

Avslørings- og våpeniseringsforløp

• 14. juli 2026: Microsoft og Rapid7 avslører CVE-2026-55040 og lanserer lapper .
• 10. august 2026: Rapid7 publiserer en detaljert teknisk analyse av sårbarheten .
• 12. august 2026: Rapid7 slipper en offentlig utnyttelseskode som et Python-skript .
• Innen få dager etter 12. august: Angripere begynner å utnytte sårbarheten aktivt .

Rapid7-forsker Stephen Fewer oppdaget feilen og påpeker at den er den første i en kjede av to sårbarheter som, når de kombineres med en annen (fortumlet) feil, kan oppnå uautentisert ekstern kodekjøring mot sårbare SharePoint-servere .

CISAs veiledning for begrensning

CISA utstedte akutt sikkerhetsveiledning 14.–15. juli 2026 og oppdaterte den etter hvert som angrepene eskalerte . Organisasjoner som kjører lokale SharePoint-installasjoner, bør iverksette følgende tiltak umiddelbart:

• Installer juli 2026-kumulative oppdateringer på alle SharePoint-servere i farmen. Bekreft vellykket installasjon via SharePoint Products Configuration Wizard eller PowerShell – en Windows Update alene garanterer ikke full service . Spesifikke oppdateringer inkluderer KB 5002891/KB 5002892 for SharePoint 2016 og KB 5002883 for SharePoint 2019 .
• Ikke eksponer SharePoint-servere direkte for internett. Hvis internettilgang er nødvendig, plasser serveren bak en lag 7-reversproxy eller tilsvarende applikasjonssikkerhetsenhet som håndhever autentisering og inspiserer forespørsler .
• Blokker ekstern tilgang til SharePoint Central Administration – dette administrative grensesnittet bør aldri være tilgjengelig fra internett .
• Aktiver og verifiser Antimalware Scan Interface (AMSI)-integrasjon for hver SharePoint-nettapplikasjon .
• Roter IIS-maskinnøkler hvis det er tegn på kompromittering, og revider for inntrengingsartefakter før du roterer stjålne legitimasjonsopplysninger .
• Etabler skreddersydd logging og overvåking for å oppdage unormale autentiseringsmønstre, og gjennomgå autentiserings- og tilgangslogger for perioden før lappinstallasjon .

Bredere utnyttelseskontekst: Tre andre CVE-er under aktivt angrep

CVE-2026-55040 er ikke en isolert hendelse. Samme dag som lappene ble sendt, bekreftet CISA aktiv utnyttelse av tre andre SharePoint-sårbarheter :

• CVE-2026-32201 (CVSS 6,5) – En forfalskningssårbarhet som skyldes feil validering av inndata, utnyttet siden minst april 2026 .
• CVE-2026-45659 (CVSS 8,8) – Ekstern kodekjøring via deserialisering av upålitelige data. Per 11. august 2026 bekreftet CISA at løsepengevirusgrupper har begynt å utnytte denne feilen .
• CVE-2026-56164 (CVSS 5,3, men utnyttbar eksternt uten autentisering) – En rettighetsutvidelsesfeil som blir aktivt lenket i angrep for å stjele IIS-maskinnøkler og oppnå vedvarende tilgang .

Angripere lenker disse sårbarhetene sammen: De bruker CVE-2026-32201 for innledende tilgang, CVE-2026-45659 eller CVE-2026-56164 for kodekjøring, og CVE-2026-55040 som en kraftmultiplikator for autentiseringsomgåelse . Den koordinerte utnyttelseskampanjen har blitt kalt «SharePoint-kjeden» av noen forskere .