Atakujący wykorzystują krytyczną lukę w SharePoint – CVE-2026-55040

Atakujący aktywnie wykorzystują krytyczną lukę w zabezpieczeniach serwerów Microsoft SharePoint, zaledwie kilka dni po opublikowaniu przez firmę Rapid7 pełnego kodu exploitu Proof-of-Concept (PoC). Podatność oznaczona jako CVE-2026-55040 z wynikiem CVSS 9.1 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu sfałszowanie tokenów JSON Web Token (JWT) i podszycie się pod dowolnego użytkownika SharePoint — włącznie z administratorem — bez znajomości hasła i posiadania ważnej sesji .

Microsoft załatał tę lukę w ramach wtorkowej aktualizacji z 14 lipca 2026 roku (tzw. Patch Tuesday). Problem dotyczy SharePoint Server Subscription Edition, wersji 2019 oraz 2016 Enterprise . Jednak według skanów całego internetu, ponad 8500 serwerów SharePoint jest wciąż narażonych na atak, co pozostawia szerokie pole do działania dla cyberprzestępców .

Jak działa CVE-2026-55040? Błąd w weryfikacji JWT

Źródłem problemu jest słabe uwierzytelnianie (CWE-1390) w procesie weryfikacji tokenów JWT w SharePoint. Według Rapid7, który odkrył błąd, podatność wynika z kilku odrębnych słabości w klasach SPJsonWebSecurityTokenHandlerV2 i SPJsonWebSecurityBaseTokenHandlerV2, które odpowiadają za parsowanie tokenów typu Bearer . Atakujący może wysłać spreparowany token JWT, który serwer akceptuje bez odpowiedniej weryfikacji kryptograficznej, co pozwala mu przejąć tożsamość dowolnego użytkownika lub administratora farmy SharePoint .

Microsoft opisał lukę wprost: "Funkcja uwierzytelniania może zostać ominięta, ponieważ podatność umożliwia podszywanie się" . Wykorzystanie luki pozwala atakującemu na ujawnienie i modyfikację danych, choć Microsoft zaznacza, że nie wpływa ona na dostępność systemu .

Ujawnienie i broń w rękach atakujących

• 14 lipca 2026: Microsoft i Rapid7 ujawniają lukę CVE-2026-55040 i udostępniają poprawki .
• 10 sierpnia 2026: Rapid7 publikuje szczegółową analizę techniczną podatności .
• 12 sierpnia 2026: Rapid7 udostępnia publiczny kod PoC w formie skryptu w języku Python .
• Kilka dni po 12 sierpnia: Atakujący zaczynają aktywnie wykorzystywać exploit w środowisku produkcyjnym .

Badacz Rapid7, Stephen Fewer, który odkrył lukę, podkreśla, że jest to pierwsza z dwóch podatności w łańcuchu ataku. Po połączeniu z drugą (wciąż nieujawnioną) luką, możliwe jest zdalne wykonanie kodu (RCE) bez uwierzytelniania na podatnych serwerach SharePoint .

Zalecenia CISA dotyczące łagodzenia skutków

Amerykańska agencja CISA (Cybersecurity and Infrastructure Security Agency) wydała pilne wytyczne dotyczące zabezpieczeń w dniach 14–15 lipca 2026 r., a następnie zaktualizowała je w miarę eskalacji ataków . Organizacje korzystające z lokalnych instalacji SharePoint powinny podjąć następujące kroki:

• Natychmiast zastosować skumulowane aktualizacje z lipca 2026 r. na wszystkich serwerach w farmie. Należy zweryfikować poprawność instalacji za pomocą Kreatora konfiguracji produktów SharePoint lub PowerShell — sama aktualizacja Windows Update nie gwarantuje pełnego załatania systemu . Konkretne aktualizacje to m.in. KB 5002891/KB 5002892 dla SharePoint 2016 oraz KB 5002883 dla SharePoint 2019 .
• Nie wystawiać serwerów SharePoint bezpośrednio do internetu. Jeśli wymagany jest dostęp z sieci zewnętrznej, należy umieścić serwer za odwrotnym proxy warstwy 7 (Layer 7) lub równoważnym urządzeniem zabezpieczającym, które wymusza uwierzytelnianie i inspekcję żądań .
• Zablokować zewnętrzny dostęp do Central Administration SharePoint — ten interfejs administracyjny nigdy nie powinien być osiągalny z internetu .
• Włączyć i zweryfikować integrację Antimalware Scan Interface (AMSI) dla każdej aplikacji webowej SharePoint .
• Zresetować klucze maszynowe IIS w przypadku jakichkolwiek oznak naruszenia bezpieczeństwa oraz przeprowadzić audyt pod kątem artefaktów włamania przed rotacją skradzionych poświadczeń .
• Wdrożyć zindywidualizowane rejestrowanie i monitorowanie w celu wykrywania nietypowych wzorców uwierzytelniania oraz przejrzeć dzienniki uwierzytelniania i uprawnień za okres poprzedzający wdrożenie łatki .

Szerszy kontekst ataków: trzy inne podatności CVE pod ostrzałem

CVE-2026-55040 nie jest odosobnionym przypadkiem. Tego samego dnia, w którym opublikowano poprawki, CISA potwierdziła aktywne wykorzystywanie trzech dodatkowych podatności SharePoint :

• CVE-2026-32201 (CVSS 6.5) — Luka typu spoofing wynikająca z nieprawidłowej walidacji danych wejściowych, wykorzystywana co najmniej od kwietnia 2026 r. .
• CVE-2026-45659 (CVSS 8.8) — Zdalne wykonanie kodu poprzez deserializację niezaufanych danych. Według stanu na 11 sierpnia 2026 r., CISA potwierdziła, że gangi ransomware zaczęły wykorzystywać tę podatność .
• CVE-2026-56164 (CVSS 5.3, ale możliwa do zdalnego wykorzystania bez uwierzytelniania) — Luka eskalacji uprawnień, aktywnie łączona w atakach w celu kradzieży kluczy maszynowych IIS i uzyskania trwałego dostępu .

Atakujący łączą te podatności w łańcuchy: używają CVE-2026-32201 do wstępnego dostępu, CVE-2026-45659 lub CVE-2026-56164 do wykonania kodu, a CVE-2026-55040 jako mnożnika siły do obejścia uwierzytelniania . Skoordynowana kampania exploitacyjna została przez niektórych badaczy nazwana "łańcuchem SharePoint" .