Akut varning: Kritisk SharePoint-sårbarhet (CVE-2026-55040) utnyttjas i aktiv attack

Så fungerar CVE-2026-55040: Ett JWT-valideringsfel

Grundorsaken är en svag autentiseringsbrist (CWE-1390) i SharePoints JWT-valideringskedja. Enligt Rapid7, som upptäckte felet, härrör sårbarheten från flera distinkta svagheter i hur SharePoint-klasserna SPJsonWebSecurityTokenHandlerV2 och SPJsonWebSecurityBaseTokenHandlerV2 tolkar Bearer-tjänst-till-tjänst-tokens . En angripare kan skicka en manipulerad JWT som servern litar på utan korrekt kryptografisk verifiering, vilket i praktiken låter dem anta identiteten för vilken SharePoint-användare eller serveradministratör som helst .

Microsoft beskrev felet enkelt: "Autentiseringsfunktionen kunde kringgås eftersom denna sårbarhet möjliggör imitation" . Exploatering gör att en angripare kan komma åt filer och ändra data, men Microsoft uppger att det inte kan påverka systemets tillgänglighet .

Avslöjande och beväpning i tid

• 14 juli 2026: Microsoft och Rapid7 avslöjar CVE-2026-55040 och släpper patcharna .
• 10 augusti 2026: Rapid7 publicerar en detaljerad teknisk analys av sårbarheten .
• 12 augusti 2026: Rapid7 släpper en offentlig PoC-sårbarhetskod som ett Python-skript .
• Inom dagar efter 12 augusti: Angripare börjar aktivt beväpna sårbarhetskoden i verkliga attacker .

Rapid7-forskaren Stephen Fewer upptäckte felet och noterade att det är den första i en kedja av två sårbarheter som, i kombination med en andra (fortfarande under embargot), kan uppnå oautentiserat fjärrkörning av kod mot sårbara SharePoint-servrar .

CISA:s säkerhetsrekommendationer

CISA utfärdade akuta säkerhetsrekommendationer den 14–15 juli 2026 och uppdaterade dem i takt med att attackerna eskalerade . Organisationer som kör lokala SharePoint-servrar bör omedelbart vidta följande åtgärder:

• Applicera de kumulativa uppdateringarna från juli 2026 på alla SharePoint-servrar i servergruppen. Verifiera att installationen är slutförd via SharePoint Products Configuration Wizard eller PowerShell – enbart Windows Update garanterar inte full service . Specifika uppdateringar inkluderar KB 5002891/KB 5002892 för SharePoint 2016 och KB 5002883 för SharePoint 2019 .
• Exponera inte SharePoint-servrar direkt mot internet. Om internetåtkomst krävs, placera servern bakom en Layer 7-reverse proxy eller motsvarande säkerhetslösning på applikationsnivå som kräver autentisering och inspekterar förfrågningar .
• Blockera extern åtkomst till SharePoint Central Administration – detta administrativa gränssnitt ska aldrig vara nåbart från internet .
• Aktivera och verifiera Antimalware Scan Interface (AMSI)-integration för varje SharePoint-webbapplikation .
• Rotera IIS-maskinnycklar om det finns tecken på kompromettering, och granska loggar efter intrångsförsök innan stulna autentiseringsuppgifter roteras .
• Skapa anpassad loggning och övervakning för att upptäcka avvikande autentiseringsmönster, och granska autentiserings- och behörighetsloggar för perioden före patchning .

Bredare attacksammanhang: Tre andra CVE-sårbarheter under aktiv attack

CVE-2026-55040 är ingen isolerad händelse. Samma dag som patcharna lanserades bekräftade CISA aktiv exploatering av tre ytterligare SharePoint-sårbarheter :

• CVE-2026-32201 (CVSS 6,5) – En förfalskningssårbarhet som orsakas av felaktig indatavalidering, utnyttjad sedan åtminstone april 2026 .
• CVE-2026-45659 (CVSS 8,8) – Fjärrkörning av kod genom avserialisering av opålitliga data. Per den 11 augusti 2026 bekräftade CISA att utpressningstrojaner har börjat utnyttja detta fel .
• CVE-2026-56164 (CVSS 5,3, men exploaterbar på distans utan autentisering) – En behörighetseskaleringssårbarhet som aktivt används i attacker för att stjäla IIS-maskinnycklar och uppnå ihållande åtkomst .

Angripare kedjar ihop dessa sårbarheter: CVE-2026-32201 används för initial åtkomst, CVE-2026-45659 eller CVE-2026-56164 för kodkörning och CVE-2026-55040 som en kraftmultiplikator för autentiseringskringgående . Den samordnade exploateringskampanjen har av vissa forskare kallats "SharePoint-kedjan" .