CVE-2026-55040: Krytyczna luka w SharePoint — hakerzy już atakują

Które wersje SharePoint są zagrożone?

Wszystkie obecnie wspierane lokalne edycje SharePoint Server są podatne:

• SharePoint Server 2016
• SharePoint Server 2019
• SharePoint Server Subscription Edition

SharePoint Online (Microsoft 365) nie jest zagrożony. Luka nie wpływa na środowiska chmurowe .

Jak działa exploit?

CVE-2026-55040 jest sklasyfikowana jako CWE-1390: Słabe uwierzytelnianie i znajduje się w mechanizmie walidacji tokenów JSON Web Token (JWT) w SharePoint . Rapid7 opisał pierwotną przyczynę jako „łańcuch czterech odrębnych słabości” w logice walidacji tokenów . Atakujący mający dostęp sieciowy do podatnego serwera może przedstawić sfałszowany token JWT, który serwer akceptuje jako ważny, co pozwala mu podszyć się pod dowolnego znanego użytkownika witryny .

Jeśli atakujący zidentyfikuje konto z uprawnieniami administracyjnymi — na podstawie jego nazwy użytkownika w Active Directory lub adresu e-mail — uzyskuje pełny dostęp administracyjny do farmy SharePoint . Z tej pozycji luka może zostać połączona z oddzielną, niezałataną luką zdalnego wykonania kodu (RCE), aby osiągnąć pełne, nieuwierzytelnione RCE .

Reakcja Microsoftu

Microsoft załatał CVE-2026-55040 w ramach aktualizacji Patch Tuesday z lipca 2026, wydanych 14 lipca 2026 r. . W biuletynie firmy napisano: „Funkcja uwierzytelniania może zostać ominięta, ponieważ ta luka umożliwia podszywanie się. Eksploatacja tej luki może prowadzić do ominięcia uwierzytelniania.”

Microsoft ocenił, że luka pozwala atakującemu na „ujawnianie plików i modyfikowanie danych, ale atakujący nie może wpłynąć na dostępność systemu” .

Stanowisko CISA i zaktualizowane wytyczne

Alert CISA z 14 lipca 2026 r. (AA26-196A) wzywał do natychmiastowego zabezpieczenia SharePoint. W tamtym czasie CISA potwierdziła aktywną eksploatację trzech innych luk SharePoint — CVE-2026-32201, CVE-2026-45659 i CVE-2026-56164 — a CVE-2026-55040 wymieniła jako nowo ujawnioną, ale jeszcze nieznaną z eksploatacji . Po publikacji PoC przez Rapid7, aktywna eksploatacja nastąpiła szybko, a zaktualizowany katalog znanych podatności wykorzystywanych w atakach (KEV) CISA zawiera teraz CVE-2026-55040 .

Kanadyjskie Centrum Cyberbezpieczeństwa (Canadian Centre for Cyber Security) również wydało zalecenie AL26-017, dodając CVE-2026-55040 do swojej listy krytycznych luk SharePoint .

Łagodzenie skutków: Brak obejść — aplikuj łatki natychmiast

Jedynym skutecznym sposobem ochrony jest natychmiastowe zastosowanie aktualizacji z lipcowego Patch Tuesday 2026. Nie ma żadnego obejścia ani zmiany konfiguracji, która mogłaby zablokować tę lukę bez aplikowania łatki .

Dodatkowe zalecenia dotyczące zabezpieczeń od Microsoft i CISA obejmują:

• Ograniczenie dostępu sieciowego do serwerów SharePoint
• Audyt pod kątem oznak aktywności po eksploatacji
• Monitorowanie nieautoryzowanego użycia tokenów JWT

Szerszy kontekst: Fala eksploatacji SharePoint w 2026 roku

CVE-2026-55040 nie jest odosobnionym incydentem. W ciągu całego 2026 roku atakujący łączyli wiele luk SharePoint w skoordynowanych kampaniach — używając początkowego wektora dostępu, takiego jak CVE-2026-55040, do zdobycia przyczółka, a następnie przechodząc do eskalacji uprawnień lub RCE, aby wdrożyć oprogramowanie ransomware lub poruszać się lateralnie po sieci przedsiębiorstwa . CISA ostrzegła, że gangi ransomware nadużywają teraz tych luk SharePoint .

Następujące CVE zostały dodane do katalogu KEV CISA w 2026 roku:

Źródła:

Najważniejszy wniosek: CVE-2026-55040 jest najniebezpieczniejszym punktem wejścia w tym łańcuchu, ponieważ wymaga zerowego uwierzytelniania lub interakcji użytkownika. W połączeniu z innymi wykorzystywanymi lukami, każdy niezałatany lokalny serwer SharePoint jest atrakcyjnym celem. Aplikowanie lipcowych aktualizacji 2026 roku to pojedyncze najważniejsze działanie obronne, jakie może podjąć organizacja.