CVE-2026-55040: Krytyczna luka w SharePoint — hakerzy już atakują
Krytyczna luka CVE 2026 55040 (CVSS 9.1) w Microsoft SharePoint Server umożliwia nieuwierzytelnionemu atakującemu sfałszowanie ważnego tokena JWT i podszycie się pod dowolnego użytkownika, w tym administratora farmy. Luka dotyczy wszystkich wspieranych wersji lokalnych (SharePoint Server 2016, 2019 i Subscription Ed...
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
Krytyczna luka CVE 2026 55040 (CVSS 9.1) w Microsoft SharePoint Server umożliwia nieuwierzytelnionemu atakującemu sfałszowanie ważnego tokena JWT i podszycie się pod dowolnego użytkownika, w tym administratora farmy.
Luka dotyczy wszystkich wspieranych wersji lokalnych (SharePoint Server 2016, 2019 i Subscription Edition); SharePoint Online (Microsoft 365) nie jest zagrożony.
Atakujący rozpoczęli kampanie exploitacyjne w ciągu kilku dni od publikacji kodu PoC przez Rapid7.
What is the critical authentication bypass vulnerability in Microsoft SharePoint Server (CVE-2026-55040) that is now being exploited in attaAI-generated editorial image representing the critical SharePoint authentication bypass vulnerability CVE-2026-55040.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the critical authentication bypass vulnerability in Microsoft SharePoint Server (CVE-2026-55040) that is now being exploited in atta. Article summary: ## CVE-2026-55040 — Critical SharePoint Authentication Bypass. Topic tags: general, government, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
CVE-2026-55040 — Najniebezpieczniejszy punkt wejścia do SharePoint w 2026 roku
Krytyczna luka umożliwiająca ominięcie uwierzytelniania w Microsoft SharePoint Server, oznaczona jako CVE-2026-55040 (CVSS 9.1), jest obecnie aktywnie wykorzystywana w atakach po tym, jak firma zajmująca się bezpieczeństwem Rapid7 opublikowała w pełni działający kod exploita (PoC). Luka ta pozwala zdalnemu, nieuwierzytelnionemu atakującemu na sfałszowanie ważnej sesji JWT i podszycie się pod dowolnego użytkownika SharePoint, w tym administratora farmy — bez potrzeby posiadania jakichkolwiek danych logowania .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CVE-2026-55040: Krytyczna luka w SharePoint — hakerzy już atakują"?
Krytyczna luka CVE 2026 55040 (CVSS 9.1) w Microsoft SharePoint Server umożliwia nieuwierzytelnionemu atakującemu sfałszowanie ważnego tokena JWT i podszycie się pod dowolnego użytkownika, w tym administratora farmy.
What are the key points to validate first?
Krytyczna luka CVE 2026 55040 (CVSS 9.1) w Microsoft SharePoint Server umożliwia nieuwierzytelnionemu atakującemu sfałszowanie ważnego tokena JWT i podszycie się pod dowolnego użytkownika, w tym administratora farmy. Luka dotyczy wszystkich wspieranych wersji lokalnych (SharePoint Server 2016, 2019 i Subscription Edition); SharePoint Online (Microsoft 365) nie jest zagrożony.
What should I do next in practice?
Atakujący rozpoczęli kampanie exploitacyjne w ciągu kilku dni od publikacji kodu PoC przez Rapid7.
CVE-2026-55040: Krytyczna luka w SharePoint — hakerzy już atakują
Krytyczna luka CVE 2026 55040 (CVSS 9.1) w Microsoft SharePoint Server umożliwia nieuwierzytelnionemu atakującemu sfałszowanie ważnego tokena JWT i podszycie się pod dowolnego użytkownika, w tym administratora farmy. Luka dotyczy wszystkich wspieranych wersji lokalnych (SharePoint Server 2016, 2019 i Subscription Ed...
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
Krytyczna luka CVE 2026 55040 (CVSS 9.1) w Microsoft SharePoint Server umożliwia nieuwierzytelnionemu atakującemu sfałszowanie ważnego tokena JWT i podszycie się pod dowolnego użytkownika, w tym administratora farmy.
Luka dotyczy wszystkich wspieranych wersji lokalnych (SharePoint Server 2016, 2019 i Subscription Edition); SharePoint Online (Microsoft 365) nie jest zagrożony.
Atakujący rozpoczęli kampanie exploitacyjne w ciągu kilku dni od publikacji kodu PoC przez Rapid7.
What is the critical authentication bypass vulnerability in Microsoft SharePoint Server (CVE-2026-55040) that is now being exploited in attaAI-generated editorial image representing the critical SharePoint authentication bypass vulnerability CVE-2026-55040.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the critical authentication bypass vulnerability in Microsoft SharePoint Server (CVE-2026-55040) that is now being exploited in atta. Article summary: ## CVE-2026-55040 — Critical SharePoint Authentication Bypass. Topic tags: general, government, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
CVE-2026-55040 — Najniebezpieczniejszy punkt wejścia do SharePoint w 2026 roku
Krytyczna luka umożliwiająca ominięcie uwierzytelniania w Microsoft SharePoint Server, oznaczona jako CVE-2026-55040 (CVSS 9.1), jest obecnie aktywnie wykorzystywana w atakach po tym, jak firma zajmująca się bezpieczeństwem Rapid7 opublikowała w pełni działający kod exploita (PoC). Luka ta pozwala zdalnemu, nieuwierzytelnionemu atakującemu na sfałszowanie ważnej sesji JWT i podszycie się pod dowolnego użytkownika SharePoint, w tym administratora farmy — bez potrzeby posiadania jakichkolwiek danych logowania .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CVE-2026-55040: Krytyczna luka w SharePoint — hakerzy już atakują"?
Krytyczna luka CVE 2026 55040 (CVSS 9.1) w Microsoft SharePoint Server umożliwia nieuwierzytelnionemu atakującemu sfałszowanie ważnego tokena JWT i podszycie się pod dowolnego użytkownika, w tym administratora farmy.
What are the key points to validate first?
Krytyczna luka CVE 2026 55040 (CVSS 9.1) w Microsoft SharePoint Server umożliwia nieuwierzytelnionemu atakującemu sfałszowanie ważnego tokena JWT i podszycie się pod dowolnego użytkownika, w tym administratora farmy. Luka dotyczy wszystkich wspieranych wersji lokalnych (SharePoint Server 2016, 2019 i Subscription Edition); SharePoint Online (Microsoft 365) nie jest zagrożony.
What should I do next in practice?
Atakujący rozpoczęli kampanie exploitacyjne w ciągu kilku dni od publikacji kodu PoC przez Rapid7.
Badacz Rapid7, Stephen Fewer, odkrył lukę i ujawnił ją wspólnie z Microsoftem 14 lipca 2026 r. . Po opublikowaniu przez Rapid7 kodu PoC 10 sierpnia, atakujący szybko go wykorzystali i w ciągu kilku dni zaczęli atakować rzeczywiste systemy .
Które wersje SharePoint są zagrożone?
Wszystkie obecnie wspierane lokalne edycje SharePoint Server są podatne:
SharePoint Server 2016
SharePoint Server 2019
SharePoint Server Subscription Edition
SharePoint Online (Microsoft 365) nie jest zagrożony. Luka nie wpływa na środowiska chmurowe .
Jak działa exploit?
CVE-2026-55040 jest sklasyfikowana jako CWE-1390: Słabe uwierzytelnianie i znajduje się w mechanizmie walidacji tokenów JSON Web Token (JWT) w SharePoint . Rapid7 opisał pierwotną przyczynę jako „łańcuch czterech odrębnych słabości” w logice walidacji tokenów . Atakujący mający dostęp sieciowy do podatnego serwera może przedstawić sfałszowany token JWT, który serwer akceptuje jako ważny, co pozwala mu podszyć się pod dowolnego znanego użytkownika witryny .
Jeśli atakujący zidentyfikuje konto z uprawnieniami administracyjnymi — na podstawie jego nazwy użytkownika w Active Directory lub adresu e-mail — uzyskuje pełny dostęp administracyjny do farmy SharePoint . Z tej pozycji luka może zostać połączona z oddzielną, niezałataną luką zdalnego wykonania kodu (RCE), aby osiągnąć pełne, nieuwierzytelnione RCE .
Reakcja Microsoftu
Microsoft załatał CVE-2026-55040 w ramach aktualizacji Patch Tuesday z lipca 2026, wydanych 14 lipca 2026 r. . W biuletynie firmy napisano: „Funkcja uwierzytelniania może zostać ominięta, ponieważ ta luka umożliwia podszywanie się. Eksploatacja tej luki może prowadzić do ominięcia uwierzytelniania.”
Microsoft ocenił, że luka pozwala atakującemu na „ujawnianie plików i modyfikowanie danych, ale atakujący nie może wpłynąć na dostępność systemu” .
Stanowisko CISA i zaktualizowane wytyczne
Alert CISA z 14 lipca 2026 r. (AA26-196A) wzywał do natychmiastowego zabezpieczenia SharePoint. W tamtym czasie CISA potwierdziła aktywną eksploatację trzech innych luk SharePoint — CVE-2026-32201, CVE-2026-45659 i CVE-2026-56164 — a CVE-2026-55040 wymieniła jako nowo ujawnioną, ale jeszcze nieznaną z eksploatacji . Po publikacji PoC przez Rapid7, aktywna eksploatacja nastąpiła szybko, a zaktualizowany katalog znanych podatności wykorzystywanych w atakach (KEV) CISA zawiera teraz CVE-2026-55040 .
Kanadyjskie Centrum Cyberbezpieczeństwa (Canadian Centre for Cyber Security) również wydało zalecenie AL26-017, dodając CVE-2026-55040 do swojej listy krytycznych luk SharePoint .
Łagodzenie skutków: Brak obejść — aplikuj łatki natychmiast
Jedynym skutecznym sposobem ochrony jest natychmiastowe zastosowanie aktualizacji z lipcowego Patch Tuesday 2026. Nie ma żadnego obejścia ani zmiany konfiguracji, która mogłaby zablokować tę lukę bez aplikowania łatki .
Dodatkowe zalecenia dotyczące zabezpieczeń od Microsoft i CISA obejmują:
Ograniczenie dostępu sieciowego do serwerów SharePoint
Audyt pod kątem oznak aktywności po eksploatacji
Monitorowanie nieautoryzowanego użycia tokenów JWT
Szerszy kontekst: Fala eksploatacji SharePoint w 2026 roku
CVE-2026-55040 nie jest odosobnionym incydentem. W ciągu całego 2026 roku atakujący łączyli wiele luk SharePoint w skoordynowanych kampaniach — używając początkowego wektora dostępu, takiego jak CVE-2026-55040, do zdobycia przyczółka, a następnie przechodząc do eskalacji uprawnień lub RCE, aby wdrożyć oprogramowanie ransomware lub poruszać się lateralnie po sieci przedsiębiorstwa . CISA ostrzegła, że gangi ransomware nadużywają teraz tych luk SharePoint .
Następujące CVE zostały dodane do katalogu KEV CISA w 2026 roku:
CVE
Typ
CVSS
Data dodania do KEV
CVE-2026-32201
Nieautoryzowany dostęp
Wysoki
14 kwietnia 2026
CVE-2026-45659
RCE przez deserializację
Wysoki
1 lipca 2026 (później używane w ransomware)
CVE-2026-56164
Eskalacja uprawnień (brak uwierzytelnienia)
5,3
14 lipca 2026
CVE-2026-50522
RCE (uwierzytelniony)
9,8
22 lipca 2026
CVE-2026-58644
RCE przez deserializację
9,8
23 lipca 2026
CVE-2026-55040
Ominięcie uwierzytelniania JWT
9,1
Sierpień 2026
Źródła:
Najważniejszy wniosek: CVE-2026-55040 jest najniebezpieczniejszym punktem wejścia w tym łańcuchu, ponieważ wymaga zerowego uwierzytelniania lub interakcji użytkownika. W połączeniu z innymi wykorzystywanymi lukami, każdy niezałatany lokalny serwer SharePoint jest atrakcyjnym celem. Aplikowanie lipcowych aktualizacji 2026 roku to pojedyncze najważniejsze działanie obronne, jakie może podjąć organizacja.
thehackernews.com
Attackers Exploit SharePoint Authentication Bypass After Public PoC Release
Badacz Rapid7, Stephen Fewer, odkrył lukę i ujawnił ją wspólnie z Microsoftem 14 lipca 2026 r. . Po opublikowaniu przez Rapid7 kodu PoC 10 sierpnia, atakujący szybko go wykorzystali i w ciągu kilku dni zaczęli atakować rzeczywiste systemy .
Które wersje SharePoint są zagrożone?
Wszystkie obecnie wspierane lokalne edycje SharePoint Server są podatne:
SharePoint Server 2016
SharePoint Server 2019
SharePoint Server Subscription Edition
SharePoint Online (Microsoft 365) nie jest zagrożony. Luka nie wpływa na środowiska chmurowe .
Jak działa exploit?
CVE-2026-55040 jest sklasyfikowana jako CWE-1390: Słabe uwierzytelnianie i znajduje się w mechanizmie walidacji tokenów JSON Web Token (JWT) w SharePoint . Rapid7 opisał pierwotną przyczynę jako „łańcuch czterech odrębnych słabości” w logice walidacji tokenów . Atakujący mający dostęp sieciowy do podatnego serwera może przedstawić sfałszowany token JWT, który serwer akceptuje jako ważny, co pozwala mu podszyć się pod dowolnego znanego użytkownika witryny .
Jeśli atakujący zidentyfikuje konto z uprawnieniami administracyjnymi — na podstawie jego nazwy użytkownika w Active Directory lub adresu e-mail — uzyskuje pełny dostęp administracyjny do farmy SharePoint . Z tej pozycji luka może zostać połączona z oddzielną, niezałataną luką zdalnego wykonania kodu (RCE), aby osiągnąć pełne, nieuwierzytelnione RCE .
Reakcja Microsoftu
Microsoft załatał CVE-2026-55040 w ramach aktualizacji Patch Tuesday z lipca 2026, wydanych 14 lipca 2026 r. . W biuletynie firmy napisano: „Funkcja uwierzytelniania może zostać ominięta, ponieważ ta luka umożliwia podszywanie się. Eksploatacja tej luki może prowadzić do ominięcia uwierzytelniania.”
Microsoft ocenił, że luka pozwala atakującemu na „ujawnianie plików i modyfikowanie danych, ale atakujący nie może wpłynąć na dostępność systemu” .
Stanowisko CISA i zaktualizowane wytyczne
Alert CISA z 14 lipca 2026 r. (AA26-196A) wzywał do natychmiastowego zabezpieczenia SharePoint. W tamtym czasie CISA potwierdziła aktywną eksploatację trzech innych luk SharePoint — CVE-2026-32201, CVE-2026-45659 i CVE-2026-56164 — a CVE-2026-55040 wymieniła jako nowo ujawnioną, ale jeszcze nieznaną z eksploatacji . Po publikacji PoC przez Rapid7, aktywna eksploatacja nastąpiła szybko, a zaktualizowany katalog znanych podatności wykorzystywanych w atakach (KEV) CISA zawiera teraz CVE-2026-55040 .
Kanadyjskie Centrum Cyberbezpieczeństwa (Canadian Centre for Cyber Security) również wydało zalecenie AL26-017, dodając CVE-2026-55040 do swojej listy krytycznych luk SharePoint .
Łagodzenie skutków: Brak obejść — aplikuj łatki natychmiast
Jedynym skutecznym sposobem ochrony jest natychmiastowe zastosowanie aktualizacji z lipcowego Patch Tuesday 2026. Nie ma żadnego obejścia ani zmiany konfiguracji, która mogłaby zablokować tę lukę bez aplikowania łatki .
Dodatkowe zalecenia dotyczące zabezpieczeń od Microsoft i CISA obejmują:
Ograniczenie dostępu sieciowego do serwerów SharePoint
Audyt pod kątem oznak aktywności po eksploatacji
Monitorowanie nieautoryzowanego użycia tokenów JWT
Szerszy kontekst: Fala eksploatacji SharePoint w 2026 roku
CVE-2026-55040 nie jest odosobnionym incydentem. W ciągu całego 2026 roku atakujący łączyli wiele luk SharePoint w skoordynowanych kampaniach — używając początkowego wektora dostępu, takiego jak CVE-2026-55040, do zdobycia przyczółka, a następnie przechodząc do eskalacji uprawnień lub RCE, aby wdrożyć oprogramowanie ransomware lub poruszać się lateralnie po sieci przedsiębiorstwa . CISA ostrzegła, że gangi ransomware nadużywają teraz tych luk SharePoint .
Następujące CVE zostały dodane do katalogu KEV CISA w 2026 roku:
CVE
Typ
CVSS
Data dodania do KEV
CVE-2026-32201
Nieautoryzowany dostęp
Wysoki
14 kwietnia 2026
CVE-2026-45659
RCE przez deserializację
Wysoki
1 lipca 2026 (później używane w ransomware)
CVE-2026-56164
Eskalacja uprawnień (brak uwierzytelnienia)
5,3
14 lipca 2026
CVE-2026-50522
RCE (uwierzytelniony)
9,8
22 lipca 2026
CVE-2026-58644
RCE przez deserializację
9,8
23 lipca 2026
CVE-2026-55040
Ominięcie uwierzytelniania JWT
9,1
Sierpień 2026
Źródła:
Najważniejszy wniosek: CVE-2026-55040 jest najniebezpieczniejszym punktem wejścia w tym łańcuchu, ponieważ wymaga zerowego uwierzytelniania lub interakcji użytkownika. W połączeniu z innymi wykorzystywanymi lukami, każdy niezałatany lokalny serwer SharePoint jest atrakcyjnym celem. Aplikowanie lipcowych aktualizacji 2026 roku to pojedyncze najważniejsze działanie obronne, jakie może podjąć organizacja.
thehackernews.com
Attackers Exploit SharePoint Authentication Bypass After Public PoC Release
