CVE-2026-55040: Критическая уязвимость обхода аутентификации SharePoint под активной атакой

Как работает CVE-2026-55040: Ошибка проверки JWT

Корень проблемы — слабая аутентификация (CWE-1390) в конвейере проверки JWT в SharePoint. Исследователи из Rapid7, обнаружившие ошибку, утверждают, что она вызвана несколькими различными уязвимостями в том, как классы SPJsonWebSecurityTokenHandlerV2 и SPJsonWebSecurityBaseTokenHandlerV2 SharePoint обрабатывают служебные Bearer-токены . Злоумышленник может отправить специально сформированный JWT, который сервер принимает без надлежащей криптографической проверки, что позволяет выдать себя за любого пользователя сайта SharePoint или администратора фермы .

Microsoft описала проблему лаконично: «Функция аутентификации может быть обойдена, так как данная уязвимость позволяет выдать себя за другого пользователя» . Успешная эксплуатация позволяет атакующему раскрывать и изменять данные, но, по заявлению Microsoft, не влияет на доступность системы .

Хронология раскрытия и атак

• 14 июля 2026 г.: Microsoft и Rapid7 раскрывают информацию об уязвимости CVE-2026-55040 и выпускают патчи .
• 10 августа 2026 г.: Rapid7 публикует подробный технический анализ уязвимости .
• 12 августа 2026 г.: Rapid7 публикует публичный PoC-эксплойт в виде скрипта Python .
• В течение нескольких дней после 12 августа: Злоумышленники начинают активно использовать эксплойт в реальных атаках .

Исследователь Rapid7 Стивен Фьюэр (Stephen Fewer), обнаруживший ошибку, отмечает, что это первая из двух уязвимостей в цепочке. В сочетании со второй (пока еще не раскрытой) уязвимостью она может привести к удаленному выполнению кода без аутентификации на уязвимых серверах SharePoint .

Рекомендации CISA по смягчению угрозы

CISA (Агентство по кибербезопасности и защите инфраструктуры США) 14–15 июля 2026 года опубликовала срочные рекомендации по усилению защиты, которые были обновлены по мере роста числа атак . Организациям, использующим локальные версии SharePoint, необходимо немедленно принять следующие меры:

• Немедленно установить накопительные обновления за июль 2026 г. на все серверы SharePoint в ферме. Убедитесь в успешности установки через мастер настройки SharePoint или PowerShell — одного только обновления через Windows Update недостаточно для полного устранения уязвимости . Конкретные обновления: KB 5002891/KB 5002892 для SharePoint 2016 и KB 5002883 для SharePoint 2019 .
• Не допускать прямого доступа к серверам SharePoint из интернета. Если доступ из интернета необходим, разместите сервер за обратным прокси-сервером уровня L7 (Layer 7) или эквивалентным межсетевым экраном уровня приложений, который обеспечивает аутентификацию и проверяет запросы .
• Заблокировать внешний доступ к SharePoint Central Administration — этот административный интерфейс ни в коем случае не должен быть доступен из интернета .
• Включить и проверить интеграцию AMSI (Antimalware Scan Interface) для каждого веб-приложения SharePoint .
• Сменить ключи машин IIS (IIS machine keys) при любых признаках компрометации, а также провести аудит на наличие артефактов вторжения до смены скомпрометированных учетных данных .
• Настроить целевое логирование и мониторинг для выявления аномальных шаблонов аутентификации, а также проверить журналы аутентификации и прав доступа за период, предшествующий установке обновлений .

Контекст более широких атак: еще три CVE в активной эксплуатации

CVE-2026-55040 — не единичный случай. В тот же день, когда были выпущены исправления, CISA подтвердила активную эксплуатацию трех дополнительных уязвимостей SharePoint :

• CVE-2026-32201 (CVSS 6.5) — уязвимость подмены (spoofing), вызванная некорректной проверкой входных данных. Эксплуатируется как минимум с апреля 2026 г. .
• CVE-2026-45659 (CVSS 8.8) — удаленное выполнение кода через десериализацию недоверенных данных. По состоянию на 11 августа 2026 г. CISA подтвердила, что эту уязвимость начали использовать группировки программ-вымогателей .
• CVE-2026-56164 (CVSS 5.3, но эксплуатируется удаленно без аутентификации) — уязвимость повышения привилегий, активно используемая в комплексных атаках для кражи ключей машин IIS и обеспечения постоянного доступа .

Злоумышленники комбинируют эти уязвимости: CVE-2026-32201 используется для начального проникновения, CVE-2026-45659 или CVE-2026-56164 — для выполнения кода, а CVE-2026-55040 служит «ускорителем», позволяя обойти аутентификацию . Эта скоординированная кампания эксплуатации получила название «SharePoint chain» (цепочка SharePoint) .