Microsoft, bu güvenlik açığını 14 Temmuz 2026 Patch Tuesday güncellemeleriyle kapattı. Açık, SharePoint Server Subscription Edition, 2019 ve 2016 Enterprise sürümlerini etkiliyor . Ancak, internet genelinde yapılan taramalara göre hâlâ 8.500'den fazla SharePoint sunucusunun çevrimiçi ve savunmasız durumda olması, saldırganlar için geniş bir hedef alanı oluşturuyor .

CVE-2026-55040 Nasıl Çalışır: Bir JWT Doğrulama Hatası

Sorunun temel nedeni, SharePoint'in JWT doğrulama mekanizmasındaki zayıf bir kimlik doğrulama açığıdır (CWE-1390). Rap7 tarafından keşfedilen bu açık, SharePoint'in SPJsonWebSecurityTokenHandlerV2 ve SPJsonWebSecurityBaseTokenHandlerV2 sınıflarının Bearer hizmetten hizmete token'larını ayrıştırma biçimindeki birkaç farklı zayıflıktan kaynaklanmaktadır . Bir saldırgan, sunucunun uygun kriptografik doğrulama yapmadan güvendiği özel hazırlanmış bir JWT gönderebilir ve böylece herhangi bir SharePoint site kullanıcısı veya çiftlik yöneticisinin kimliğine bürünebilir .

Microsoft, açığı şöyle tanımladı: "Kimlik doğrulama özelliği, bu güvenlik açığının kimlik taklidine izin vermesi nedeniyle atlanabilir" . Başarılı bir istismar, saldırganın dosyaları ifşa etmesine ve verileri değiştirmesine olanak tanır, ancak Microsoft, sistemin kullanılabilirliğini etkileyemeyeceğini belirtmektedir .

İfşaat ve Silah Haline Getirilme Zaman Çizelgesi

• 14 Temmuz 2026: Microsoft ve Rapid7, CVE-2026-55040'ı ifşa etti ve yamaları yayınladı .
• 10 Ağustos 2026: Rapid7, güvenlik açığı hakkında ayrıntılı bir teknik analiz yayınladı .
• 12 Ağustos 2026: Rapid7, Python betiği olarak halka açık bir PoC istismar kodu yayınladı .
• 12 Ağustos'tan sonraki günler içinde: Saldırganlar, istismar kodunu aktif olarak silah haline getirmeye başladı .

Rapid7 araştırmacısı Stephen Fewer tarafından keşfedilen açık, ikinci (hala ambargolu) bir açıkla birleştirildiğinde, savunmasız SharePoint sunucularında kimlik doğrulaması gerektirmeyen uzaktan kod yürütmeye (RCE) ulaşılabilen iki açıklı bir zincirin ilk halkasıdır .

CISA'nın Azaltma Önlemleri

CISA (ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı), 14-15 Temmuz 2026'da acil bir sıkılaştırma kılavuzu yayınladı ve istismar arttıkça bunu güncelledi . Şirket içi SharePoint çalıştıran kuruluşların aşağıdaki adımları derhal atması gerekiyor:

• Temmuz 2026 kümülatif güncellemelerini çiftlikteki tüm SharePoint sunucularına uygulayın. Kurulumun SharePoint Ürünleri Yapılandırma Sihirbazı veya PowerShell aracılığıyla doğrulandığından emin olun; tek başına bir Windows Update, tam servis sağlamayı garanti etmez . Belirli güncellemeler arasında SharePoint 2016 için KB 5002891/KB 5002892 ve SharePoint 2019 için KB 5002883 bulunur .
• SharePoint sunucularını doğrudan internete maruz bırakmayın. İnternet erişimi gerekiyorsa, sunucuyu kimlik doğrulamasını zorlayan ve istekleri inceleyen bir Katman 7 ters proxy veya eşdeğer bir uygulama katmanı güvenlik cihazının arkasına yerleştirin .
• SharePoint Central Administration'a harici erişimi engelleyin — bu yönetici arayüzü asla internetten erişilebilir olmamalıdır .
• Her SharePoint web uygulaması için Antimalware Scan Interface (AMSI) entegrasyonunu etkinleştirin ve doğrulayın .
• Herhangi bir tehlike işareti varsa IIS makine anahtarlarını döndürün ve çalınan kimlik bilgilerini döndürmeden önce saldırı eserlerini denetleyin .
• Özel günlük kaydı ve izleme mekanizmaları oluşturun ve yama dağıtımından önceki dönem için kimlik doğrulama ve izin günlüklerini inceleyin .

Daha Geniş İstismar Bağlamı: Aktif Olarak Saldırıya Uğrayan Diğer Üç CVE

CVE-2026-55040 izole bir olay değil. Yamaların aynı gün yayınlandığı gün, CISA üç ek SharePoint CVE'sinin aktif olarak kullanıldığını doğruladı :

• CVE-2026-32201 (CVSS 6.5) — Hatalı giriş doğrulamasından kaynaklanan bir kimlik sahtekarlığı (spoofing) açığı. En az Nisan 2026'dan beri kullanılıyor .
• CVE-2026-45659 (CVSS 8.8) — Güvenilmeyen verilerin seri durumdan çıkarılması (deserialization) yoluyla uzaktan kod yürütme. 11 Ağustos 2026 itibarıyla CISA, fidye yazılım çetelerinin bu açığı kullanmaya başladığını doğruladı .
• CVE-2026-56164 (CVSS 5.3, ancak kimlik doğrulaması olmadan uzaktan istismar edilebilir) — Saldırılarda IIS makine anahtarlarını çalmak ve kalıcı erişim sağlamak için aktif olarak zincirlenen bir ayrıcalık yükseltme açığı .

Saldırganlar bu güvenlik açıklarını birbirine zincirliyor: İlk erişim için CVE-2026-32201, kod yürütme için CVE-2026-45659 veya CVE-2026-56164 ve kimlik doğrulama atlatma için bir güç çarpanı olarak CVE-2026-55040'ı kullanıyorlar . Bu koordineli istismar kampanyası, bazı araştırmacılar tarafından "SharePoint zinciri" olarak adlandırılıyor .

Microsoft, bu güvenlik açığını 14 Temmuz 2026 Patch Tuesday güncellemeleriyle kapattı. Açık, SharePoint Server Subscription Edition, 2019 ve 2016 Enterprise sürümlerini etkiliyor . Ancak, internet genelinde yapılan taramalara göre hâlâ 8.500'den fazla SharePoint sunucusunun çevrimiçi ve savunmasız durumda olması, saldırganlar için geniş bir hedef alanı oluşturuyor .

CVE-2026-55040 Nasıl Çalışır: Bir JWT Doğrulama Hatası

Sorunun temel nedeni, SharePoint'in JWT doğrulama mekanizmasındaki zayıf bir kimlik doğrulama açığıdır (CWE-1390). Rap7 tarafından keşfedilen bu açık, SharePoint'in SPJsonWebSecurityTokenHandlerV2 ve SPJsonWebSecurityBaseTokenHandlerV2 sınıflarının Bearer hizmetten hizmete token'larını ayrıştırma biçimindeki birkaç farklı zayıflıktan kaynaklanmaktadır . Bir saldırgan, sunucunun uygun kriptografik doğrulama yapmadan güvendiği özel hazırlanmış bir JWT gönderebilir ve böylece herhangi bir SharePoint site kullanıcısı veya çiftlik yöneticisinin kimliğine bürünebilir .

Microsoft, açığı şöyle tanımladı: "Kimlik doğrulama özelliği, bu güvenlik açığının kimlik taklidine izin vermesi nedeniyle atlanabilir" . Başarılı bir istismar, saldırganın dosyaları ifşa etmesine ve verileri değiştirmesine olanak tanır, ancak Microsoft, sistemin kullanılabilirliğini etkileyemeyeceğini belirtmektedir .

İfşaat ve Silah Haline Getirilme Zaman Çizelgesi

• 14 Temmuz 2026: Microsoft ve Rapid7, CVE-2026-55040'ı ifşa etti ve yamaları yayınladı .
• 10 Ağustos 2026: Rapid7, güvenlik açığı hakkında ayrıntılı bir teknik analiz yayınladı .
• 12 Ağustos 2026: Rapid7, Python betiği olarak halka açık bir PoC istismar kodu yayınladı .
• 12 Ağustos'tan sonraki günler içinde: Saldırganlar, istismar kodunu aktif olarak silah haline getirmeye başladı .

Rapid7 araştırmacısı Stephen Fewer tarafından keşfedilen açık, ikinci (hala ambargolu) bir açıkla birleştirildiğinde, savunmasız SharePoint sunucularında kimlik doğrulaması gerektirmeyen uzaktan kod yürütmeye (RCE) ulaşılabilen iki açıklı bir zincirin ilk halkasıdır .

CISA'nın Azaltma Önlemleri

CISA (ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı), 14-15 Temmuz 2026'da acil bir sıkılaştırma kılavuzu yayınladı ve istismar arttıkça bunu güncelledi . Şirket içi SharePoint çalıştıran kuruluşların aşağıdaki adımları derhal atması gerekiyor:

• Temmuz 2026 kümülatif güncellemelerini çiftlikteki tüm SharePoint sunucularına uygulayın. Kurulumun SharePoint Ürünleri Yapılandırma Sihirbazı veya PowerShell aracılığıyla doğrulandığından emin olun; tek başına bir Windows Update, tam servis sağlamayı garanti etmez . Belirli güncellemeler arasında SharePoint 2016 için KB 5002891/KB 5002892 ve SharePoint 2019 için KB 5002883 bulunur .
• SharePoint sunucularını doğrudan internete maruz bırakmayın. İnternet erişimi gerekiyorsa, sunucuyu kimlik doğrulamasını zorlayan ve istekleri inceleyen bir Katman 7 ters proxy veya eşdeğer bir uygulama katmanı güvenlik cihazının arkasına yerleştirin .
• SharePoint Central Administration'a harici erişimi engelleyin — bu yönetici arayüzü asla internetten erişilebilir olmamalıdır .
• Her SharePoint web uygulaması için Antimalware Scan Interface (AMSI) entegrasyonunu etkinleştirin ve doğrulayın .
• Herhangi bir tehlike işareti varsa IIS makine anahtarlarını döndürün ve çalınan kimlik bilgilerini döndürmeden önce saldırı eserlerini denetleyin .
• Özel günlük kaydı ve izleme mekanizmaları oluşturun ve yama dağıtımından önceki dönem için kimlik doğrulama ve izin günlüklerini inceleyin .

Daha Geniş İstismar Bağlamı: Aktif Olarak Saldırıya Uğrayan Diğer Üç CVE

CVE-2026-55040 izole bir olay değil. Yamaların aynı gün yayınlandığı gün, CISA üç ek SharePoint CVE'sinin aktif olarak kullanıldığını doğruladı :

• CVE-2026-32201 (CVSS 6.5) — Hatalı giriş doğrulamasından kaynaklanan bir kimlik sahtekarlığı (spoofing) açığı. En az Nisan 2026'dan beri kullanılıyor .
• CVE-2026-45659 (CVSS 8.8) — Güvenilmeyen verilerin seri durumdan çıkarılması (deserialization) yoluyla uzaktan kod yürütme. 11 Ağustos 2026 itibarıyla CISA, fidye yazılım çetelerinin bu açığı kullanmaya başladığını doğruladı .
• CVE-2026-56164 (CVSS 5.3, ancak kimlik doğrulaması olmadan uzaktan istismar edilebilir) — Saldırılarda IIS makine anahtarlarını çalmak ve kalıcı erişim sağlamak için aktif olarak zincirlenen bir ayrıcalık yükseltme açığı .

Saldırganlar bu güvenlik açıklarını birbirine zincirliyor: İlk erişim için CVE-2026-32201, kod yürütme için CVE-2026-45659 veya CVE-2026-56164 ve kimlik doğrulama atlatma için bir güç çarpanı olarak CVE-2026-55040'ı kullanıyorlar . Bu koordineli istismar kampanyası, bazı araştırmacılar tarafından "SharePoint zinciri" olarak adlandırılıyor .