CVE-2026-55040: Критична вразливість обходу аутентифікації JWT у SharePoint активно експлуатується

Як працює CVE-2026-55040: Помилка перевірки JWT

Причина проблеми — слабка аутентифікація (CWE-1390) у конвеєрі перевірки JWT у SharePoint. За даними Rapid7, яка виявила цю помилку, вразливість виникає через кілька окремих слабких місць у тому, як класи SPJsonWebSecurityTokenHandlerV2 та SPJsonWebSecurityBaseTokenHandlerV2 аналізують Bearer-токени для зв'язку між службами . Зловмисник може надіслати спеціально створений JWT, якому сервер довіряє без належної криптографічної перевірки, фактично дозволяючи йому прийняти особу будь-якого користувача сайту SharePoint або адміністратора ферми .

Microsoft описала цю ваду просто: "Функцію аутентифікації можна обійти, оскільки ця вразливість дозволяє видавати себе за іншу особу" . Експлуатація дозволяє зловмиснику розкривати файли та змінювати дані, хоча Microsoft стверджує, що вона не може вплинути на доступність системи .

Розкриття та озброєння: хронологія

• 14 липня 2026 року: Microsoft і Rapid7 розкривають CVE-2026-55040 і випускають патчі .
• 10 серпня 2026 року: Rapid7 публікує детальний технічний аналіз вразливості .
• 12 серпня 2026 року: Rapid7 публікує загальнодоступний PoC-експлойт у вигляді Python-скрипта .
• Протягом кількох днів після 12 серпня: Зловмисники починають активно використовувати експлойт у реальних атаках .

Дослідник Rapid7 Стівен Ф'юер виявив цю ваду, зазначивши, що це перша з двох вразливостей у ланцюжку, які в поєднанні з другою (яка все ще знаходиться під ембарго) можуть призвести до неавторизованого віддаленого виконання коду на вразливих серверах SharePoint .

Рекомендації CISA щодо захисту

CISA оприлюднила термінові рекомендації з посилення захисту 14–15 липня 2026 року та оновила їх у міру ескалації експлуатації . Організаціям, які використовують локальний SharePoint, слід негайно вжити таких заходів:

• Негайно встановіть накопичувальні оновлення за липень 2026 року на всі сервери SharePoint у фермі. Переконайтеся в успішності встановлення за допомогою майстра налаштування продуктів SharePoint або PowerShell — лише встановлення Windows Update не гарантує повного оновлення . Конкретні оновлення включають KB 5002891/KB 5002892 для SharePoint 2016 та KB 5002883 для SharePoint 2019 .
• Не наражайте сервери SharePoint безпосередньо на інтернет. Якщо необхідний доступ до інтернету, розмістіть сервер за зворотним проксі-сервером рівня 7 (Layer 7) або подібним засобом безпеки на рівні додатків, який вимагає аутентифікації та перевіряє запити .
• Заблокуйте зовнішній доступ до Центру адміністрування SharePoint — цей адміністративний інтерфейс ніколи не має бути доступним з інтернету .
• Увімкніть та перевірте інтеграцію інтерфейсу антивірусного сканування (AMSI) для кожного веб-додатку SharePoint .
• Змініть ключі IIS (Internet Information Services), якщо є ознаки компрометації, та перевірте наявність артефактів вторгнення до заміни вкрадених облікових даних .
• Впровадьте спеціалізоване ведення журналів та моніторинг для виявлення аномальних патернів аутентифікації, а також перегляньте журнали аутентифікації та дозволів за період до встановлення патча .

Контекст ширшої експлуатації: три інші CVE під активними атаками

CVE-2026-55040 — не ізольований інцидент. Того ж дня, коли були випущені патчі, CISA підтвердила активну експлуатацію трьох інших CVE у SharePoint :

• CVE-2026-32201 (CVSS 6.5) — Вразливість спуфінгу через неправильну перевірку вхідних даних, яка експлуатується принаймні з квітня 2026 року .
• CVE-2026-45659 (CVSS 8.8) — Віддалене виконання коду через десеріалізацію ненадійних даних. Станом на 11 серпня 2026 року CISA підтвердила, що угруповання програм-вимагачів почали використовувати цю ваду .
• CVE-2026-56164 (CVSS 5.3, але експлуатується віддалено без аутентифікації) — Вразливість підвищення привілеїв, яка активно використовується в ланцюжках атак для викрадення ключів IIS та отримання постійного доступу .

Зловмисники об'єднують ці вразливості: використовують CVE-2026-32201 для початкового доступу, CVE-2026-45659 або CVE-2026-56164 для виконання коду, а CVE-2026-55040 — як множник сили для обходу аутентифікації . Цю скоординовану кампанію експлуатації деякі дослідники назвали "ланцюжком SharePoint" .