CVE-2026-55040: Lỗ hổng bỏ qua xác thực JWT trong SharePoint đang bị tin tặc khai thác hàng loạt
CVE 2026 55040 (CVSS 9.1) là lỗ hổng bỏ qua xác thực nghiêm trọng trong quy trình kiểm tra JWT của SharePoint, cho phép tin tặc từ xa giả mạo token và mạo danh bất kỳ người dùng nào, kể cả quản trị viên. CISA yêu cầu vá ngay lập tức: cài bản cập nhật tích lũy tháng 7/2026, không để máy chủ SharePoint lộ trực tiếp in...
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
CVE 2026 55040 (CVSS 9.1) là lỗ hổng bỏ qua xác thực nghiêm trọng trong quy trình kiểm tra JWT của SharePoint, cho phép tin tặc từ xa giả mạo token và mạo danh bất kỳ người dùng nào, kể cả quản trị viên.
CISA yêu cầu vá ngay lập tức: cài bản cập nhật tích lũy tháng 7/2026, không để máy chủ SharePoint lộ trực tiếp internet, chặn truy cập từ ngoài vào SharePoint Central Administration, bật AMSI, và xoay khóa IIS nếu có...
Lỗ hổng này nằm trong làn sóng tấn công lớn hơn: ba lỗ hổng SharePoint khác (CVE 2026 32201, CVE 2026 45659, CVE 2026 56164) đã bị khai thác tích cực, và bọn tấn công ransomware đã bắt đầu lợi dụng CVE 2026 45659.
What is the critical SharePoint authentication bypass vulnerability (CVE-2026-55040, CVSS 9.1) that was weaponized by attackers just days afIllustration of a SharePoint server under cyberattack via a JWT authentication bypass vulnerability.
Prompt AI
Create a landscape editorial hero image for this Studio Global article: What is the critical SharePoint authentication bypass vulnerability (CVE-2026-55040, CVSS 9.1) that was weaponized by attackers just days af. Article summary: ## CVE-2026-55040 — Critical SharePoint Authentication Bypass. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Tin tặc đang tích cực khai thác một lỗ hổng bỏ qua xác thực nghiêm trọng trên các máy chủ Microsoft SharePoint nội bộ chỉ vài ngày sau khi hãng bảo mật Rapid7 công bố mã khai thác bằng chứng (PoC) hoàn chỉnh. Lỗ hổng được theo dõi với mã CVE-2026-55040, điểm CVSS 9.1, cho phép kẻ tấn công từ xa chưa xác thực giả mạo JSON Web Token (JWT) và mạo danh bất kỳ người dùng SharePoint nào — bao gồm cả quản trị viên — mà không cần mật khẩu hay phiên làm việc hợp lệ .
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "CVE-2026-55040: Lỗ hổng bỏ qua xác thực JWT trong SharePoint đang bị tin tặc khai thác hàng loạt" là gì?
CVE 2026 55040 (CVSS 9.1) là lỗ hổng bỏ qua xác thực nghiêm trọng trong quy trình kiểm tra JWT của SharePoint, cho phép tin tặc từ xa giả mạo token và mạo danh bất kỳ người dùng nào, kể cả quản trị viên.
Những điểm chính cần xác nhận đầu tiên là gì?
CVE 2026 55040 (CVSS 9.1) là lỗ hổng bỏ qua xác thực nghiêm trọng trong quy trình kiểm tra JWT của SharePoint, cho phép tin tặc từ xa giả mạo token và mạo danh bất kỳ người dùng nào, kể cả quản trị viên. CISA yêu cầu vá ngay lập tức: cài bản cập nhật tích lũy tháng 7/2026, không để máy chủ SharePoint lộ trực tiếp internet, chặn truy cập từ ngoài vào SharePoint Central Administration, bật AMSI, và xoay khóa IIS nếu có...
Tôi nên làm gì tiếp theo trong thực tế?
Lỗ hổng này nằm trong làn sóng tấn công lớn hơn: ba lỗ hổng SharePoint khác (CVE 2026 32201, CVE 2026 45659, CVE 2026 56164) đã bị khai thác tích cực, và bọn tấn công ransomware đã bắt đầu lợi dụng CVE 2026 45659.
CVE-2026-55040: Lỗ hổng bỏ qua xác thực JWT trong SharePoint đang bị tin tặc khai thác hàng loạt
CVE 2026 55040 (CVSS 9.1) là lỗ hổng bỏ qua xác thực nghiêm trọng trong quy trình kiểm tra JWT của SharePoint, cho phép tin tặc từ xa giả mạo token và mạo danh bất kỳ người dùng nào, kể cả quản trị viên. CISA yêu cầu vá ngay lập tức: cài bản cập nhật tích lũy tháng 7/2026, không để máy chủ SharePoint lộ trực tiếp in...
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
CVE 2026 55040 (CVSS 9.1) là lỗ hổng bỏ qua xác thực nghiêm trọng trong quy trình kiểm tra JWT của SharePoint, cho phép tin tặc từ xa giả mạo token và mạo danh bất kỳ người dùng nào, kể cả quản trị viên.
CISA yêu cầu vá ngay lập tức: cài bản cập nhật tích lũy tháng 7/2026, không để máy chủ SharePoint lộ trực tiếp internet, chặn truy cập từ ngoài vào SharePoint Central Administration, bật AMSI, và xoay khóa IIS nếu có...
Lỗ hổng này nằm trong làn sóng tấn công lớn hơn: ba lỗ hổng SharePoint khác (CVE 2026 32201, CVE 2026 45659, CVE 2026 56164) đã bị khai thác tích cực, và bọn tấn công ransomware đã bắt đầu lợi dụng CVE 2026 45659.
What is the critical SharePoint authentication bypass vulnerability (CVE-2026-55040, CVSS 9.1) that was weaponized by attackers just days afIllustration of a SharePoint server under cyberattack via a JWT authentication bypass vulnerability.
Prompt AI
Create a landscape editorial hero image for this Studio Global article: What is the critical SharePoint authentication bypass vulnerability (CVE-2026-55040, CVSS 9.1) that was weaponized by attackers just days af. Article summary: ## CVE-2026-55040 — Critical SharePoint Authentication Bypass. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Tin tặc đang tích cực khai thác một lỗ hổng bỏ qua xác thực nghiêm trọng trên các máy chủ Microsoft SharePoint nội bộ chỉ vài ngày sau khi hãng bảo mật Rapid7 công bố mã khai thác bằng chứng (PoC) hoàn chỉnh. Lỗ hổng được theo dõi với mã CVE-2026-55040, điểm CVSS 9.1, cho phép kẻ tấn công từ xa chưa xác thực giả mạo JSON Web Token (JWT) và mạo danh bất kỳ người dùng SharePoint nào — bao gồm cả quản trị viên — mà không cần mật khẩu hay phiên làm việc hợp lệ .
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "CVE-2026-55040: Lỗ hổng bỏ qua xác thực JWT trong SharePoint đang bị tin tặc khai thác hàng loạt" là gì?
CVE 2026 55040 (CVSS 9.1) là lỗ hổng bỏ qua xác thực nghiêm trọng trong quy trình kiểm tra JWT của SharePoint, cho phép tin tặc từ xa giả mạo token và mạo danh bất kỳ người dùng nào, kể cả quản trị viên.
Những điểm chính cần xác nhận đầu tiên là gì?
CVE 2026 55040 (CVSS 9.1) là lỗ hổng bỏ qua xác thực nghiêm trọng trong quy trình kiểm tra JWT của SharePoint, cho phép tin tặc từ xa giả mạo token và mạo danh bất kỳ người dùng nào, kể cả quản trị viên. CISA yêu cầu vá ngay lập tức: cài bản cập nhật tích lũy tháng 7/2026, không để máy chủ SharePoint lộ trực tiếp internet, chặn truy cập từ ngoài vào SharePoint Central Administration, bật AMSI, và xoay khóa IIS nếu có...
Tôi nên làm gì tiếp theo trong thực tế?
Lỗ hổng này nằm trong làn sóng tấn công lớn hơn: ba lỗ hổng SharePoint khác (CVE 2026 32201, CVE 2026 45659, CVE 2026 56164) đã bị khai thác tích cực, và bọn tấn công ransomware đã bắt đầu lợi dụng CVE 2026 45659.
Microsoft đã vá lỗ hổng này trong bản cập nhật Patch Tuesday tháng 7 năm 2026 (ngày 14/7/2026), ảnh hưởng đến SharePoint Server Subscription Edition, 2019 và 2016 Enterprise . Tuy nhiên, theo các cuộc quét trên phạm vi internet, hơn 8.500 máy chủ SharePoint vẫn đang lộ diện trực tuyến, khiến cánh cửa cho tin tặc vẫn rộng mở .
Cơ chế hoạt động của CVE-2026-55040: Lỗ hổng xác thực JWT
Nguyên nhân gốc rễ là một lỗ hổng xác thực yếu (CWE-1390) trong quy trình xác thực JWT của SharePoint. Theo Rapid7, đơn vị phát hiện ra lỗi, điểm yếu này bắt nguồn từ một số điểm yếu riêng biệt trong cách các lớp SPJsonWebSecurityTokenHandlerV2 và SPJsonWebSecurityBaseTokenHandlerV2 của SharePoint phân tích các token Bearer (dịch vụ với dịch vụ) . Kẻ tấn công có thể gửi một JWT được chế tạo sẵn mà máy chủ tin tưởng mà không cần xác minh mật mã, trên thực tế cho phép chúng đóng giả danh tính của bất kỳ người dùng trang SharePoint hay quản trị viên nông trại nào .
Microsoft mô tả lỗ hổng một cách đơn giản: "Tính năng xác thực có thể bị bỏ qua do lỗ hổng này cho phép mạo danh" . Khai thác thành công cho phép kẻ tấn công tiết lộ tệp tin và sửa đổi dữ liệu, mặc dù Microsoft cho biết nó không thể ảnh hưởng đến tính khả dụng của hệ thống .
Dòng thời gian tiết lộ và vũ khí hóa
14/7/2026: Microsoft và Rapid7 tiết lộ CVE-2026-55040 và phát hành bản vá .
10/8/2026: Rapid7 công bố một phân tích kỹ thuật chi tiết về lỗ hổng .
12/8/2026: Rapid7 phát hành mã khai thác PoC công khai dưới dạng script Python .
Trong vòng vài ngày sau 12/8: Tin tặc bắt đầu tích cực vũ khí hóa mã khai thác trên thực tế .
Nhà nghiên cứu Stephen Fewer của Rapid7 là người phát hiện ra lỗ hổng, lưu ý rằng đây là lỗ hổng đầu tiên trong chuỗi hai lỗ hổng, khi kết hợp với lỗ hổng thứ hai (vẫn đang bị phong tỏa), có thể đạt được khả năng thực thi mã từ xa chưa xác thực trên các máy chủ SharePoint dễ bị tấn công .
Hướng dẫn giảm thiểu từ CISA
CISA đã ban hành hướng dẫn tăng cường bảo mật khẩn cấp vào ngày 14–15/7/2026 và cập nhật khi tình hình leo thang . Các tổ chức đang chạy SharePoint nội bộ cần thực hiện ngay các hành động sau:
Áp dụng các bản cập nhật tích lũy tháng 7/2026 cho tất cả các máy chủ SharePoint trong hệ thống. Xác minh cài đặt thành công thông qua SharePoint Products Configuration Wizard hoặc PowerShell — chỉ cập nhật Windows Update không đảm bảo dịch vụ đầy đủ . Các bản cập nhật cụ thể bao gồm KB 5002891/KB 5002892 cho SharePoint 2016 và KB 5002883 cho SharePoint 2019 .
Không để máy chủ SharePoint tiếp xúc trực tiếp với internet. Nếu cần truy cập internet, hãy đặt máy chủ phía sau một proxy ngược lớp 7 hoặc thiết bị bảo mật lớp ứng dụng tương đương, nơi thực thi xác thực và kiểm tra các yêu cầu .
Chặn truy cập từ bên ngoài vào SharePoint Central Administration — giao diện quản trị này không bao giờ được truy cập từ internet .
Kích hoạt và xác minh tích hợp Giao diện Quét Chống Phần mềm Độc hại (AMSI) cho mọi ứng dụng web SharePoint .
Xoay vòng khóa máy IIS nếu có bất kỳ dấu hiệu xâm nhập nào, và kiểm tra các dấu hiệu xâm nhập trước khi xoay các thông tin xác thực đã bị đánh cắp .
Thiết lập ghi nhật ký và giám sát phù hợp để phát hiện các mẫu xác thực bất thường, đồng thời xem xét nhật ký xác thực và quyền cho giai đoạn trước khi triển khai bản vá .
Bối cảnh khai thác rộng hơn: Ba lỗ hổng CVE khác đang bị tấn công
CVE-2026-55040 không phải là sự cố cá biệt. Cùng ngày các bản vá được phát hành, CISA đã xác nhận việc khai thác tích cực ba lỗ hổng SharePoint khác:
CVE-2026-32201 (CVSS 6.5) — Lỗ hổng giả mạo do xác thực đầu vào không đúng, bị khai thác từ ít nhất tháng 4/2026 .
CVE-2026-45659 (CVSS 8.8) — Thực thi mã từ xa thông qua giải tuần tự hóa dữ liệu không đáng tin cậy. Tính đến ngày 11/8/2026, CISA xác nhận rằng các băng nhóm ransomware đã bắt đầu lợi dụng lỗ hổng này .
CVE-2026-56164 (CVSS 5.3, nhưng có thể khai thác từ xa mà không cần xác thực) — Lỗ hổng leo thang đặc quyền đang bị khai thác trong các cuộc tấn công để đánh cắp khóa máy IIS và giành quyền truy cập liên tục .
Tin tặc đang kết hợp các lỗ hổng này với nhau: sử dụng CVE-2026-32201 để xâm nhập ban đầu, CVE-2026-45659 hoặc CVE-2026-56164 để thực thi mã, và CVE-2026-55040 như một bộ khuếch đại để bỏ qua xác thực . Chiến dịch khai thác phối hợp này đã được một số nhà nghiên cứu đặt tên là "chuỗi SharePoint" .
helpnetsecurity.comAttackers exploit critical SharePoint flaw after PoC goes public (CVE ...
Microsoft đã vá lỗ hổng này trong bản cập nhật Patch Tuesday tháng 7 năm 2026 (ngày 14/7/2026), ảnh hưởng đến SharePoint Server Subscription Edition, 2019 và 2016 Enterprise . Tuy nhiên, theo các cuộc quét trên phạm vi internet, hơn 8.500 máy chủ SharePoint vẫn đang lộ diện trực tuyến, khiến cánh cửa cho tin tặc vẫn rộng mở .
Cơ chế hoạt động của CVE-2026-55040: Lỗ hổng xác thực JWT
Nguyên nhân gốc rễ là một lỗ hổng xác thực yếu (CWE-1390) trong quy trình xác thực JWT của SharePoint. Theo Rapid7, đơn vị phát hiện ra lỗi, điểm yếu này bắt nguồn từ một số điểm yếu riêng biệt trong cách các lớp SPJsonWebSecurityTokenHandlerV2 và SPJsonWebSecurityBaseTokenHandlerV2 của SharePoint phân tích các token Bearer (dịch vụ với dịch vụ) . Kẻ tấn công có thể gửi một JWT được chế tạo sẵn mà máy chủ tin tưởng mà không cần xác minh mật mã, trên thực tế cho phép chúng đóng giả danh tính của bất kỳ người dùng trang SharePoint hay quản trị viên nông trại nào .
Microsoft mô tả lỗ hổng một cách đơn giản: "Tính năng xác thực có thể bị bỏ qua do lỗ hổng này cho phép mạo danh" . Khai thác thành công cho phép kẻ tấn công tiết lộ tệp tin và sửa đổi dữ liệu, mặc dù Microsoft cho biết nó không thể ảnh hưởng đến tính khả dụng của hệ thống .
Dòng thời gian tiết lộ và vũ khí hóa
14/7/2026: Microsoft và Rapid7 tiết lộ CVE-2026-55040 và phát hành bản vá .
10/8/2026: Rapid7 công bố một phân tích kỹ thuật chi tiết về lỗ hổng .
12/8/2026: Rapid7 phát hành mã khai thác PoC công khai dưới dạng script Python .
Trong vòng vài ngày sau 12/8: Tin tặc bắt đầu tích cực vũ khí hóa mã khai thác trên thực tế .
Nhà nghiên cứu Stephen Fewer của Rapid7 là người phát hiện ra lỗ hổng, lưu ý rằng đây là lỗ hổng đầu tiên trong chuỗi hai lỗ hổng, khi kết hợp với lỗ hổng thứ hai (vẫn đang bị phong tỏa), có thể đạt được khả năng thực thi mã từ xa chưa xác thực trên các máy chủ SharePoint dễ bị tấn công .
Hướng dẫn giảm thiểu từ CISA
CISA đã ban hành hướng dẫn tăng cường bảo mật khẩn cấp vào ngày 14–15/7/2026 và cập nhật khi tình hình leo thang . Các tổ chức đang chạy SharePoint nội bộ cần thực hiện ngay các hành động sau:
Áp dụng các bản cập nhật tích lũy tháng 7/2026 cho tất cả các máy chủ SharePoint trong hệ thống. Xác minh cài đặt thành công thông qua SharePoint Products Configuration Wizard hoặc PowerShell — chỉ cập nhật Windows Update không đảm bảo dịch vụ đầy đủ . Các bản cập nhật cụ thể bao gồm KB 5002891/KB 5002892 cho SharePoint 2016 và KB 5002883 cho SharePoint 2019 .
Không để máy chủ SharePoint tiếp xúc trực tiếp với internet. Nếu cần truy cập internet, hãy đặt máy chủ phía sau một proxy ngược lớp 7 hoặc thiết bị bảo mật lớp ứng dụng tương đương, nơi thực thi xác thực và kiểm tra các yêu cầu .
Chặn truy cập từ bên ngoài vào SharePoint Central Administration — giao diện quản trị này không bao giờ được truy cập từ internet .
Kích hoạt và xác minh tích hợp Giao diện Quét Chống Phần mềm Độc hại (AMSI) cho mọi ứng dụng web SharePoint .
Xoay vòng khóa máy IIS nếu có bất kỳ dấu hiệu xâm nhập nào, và kiểm tra các dấu hiệu xâm nhập trước khi xoay các thông tin xác thực đã bị đánh cắp .
Thiết lập ghi nhật ký và giám sát phù hợp để phát hiện các mẫu xác thực bất thường, đồng thời xem xét nhật ký xác thực và quyền cho giai đoạn trước khi triển khai bản vá .
Bối cảnh khai thác rộng hơn: Ba lỗ hổng CVE khác đang bị tấn công
CVE-2026-55040 không phải là sự cố cá biệt. Cùng ngày các bản vá được phát hành, CISA đã xác nhận việc khai thác tích cực ba lỗ hổng SharePoint khác:
CVE-2026-32201 (CVSS 6.5) — Lỗ hổng giả mạo do xác thực đầu vào không đúng, bị khai thác từ ít nhất tháng 4/2026 .
CVE-2026-45659 (CVSS 8.8) — Thực thi mã từ xa thông qua giải tuần tự hóa dữ liệu không đáng tin cậy. Tính đến ngày 11/8/2026, CISA xác nhận rằng các băng nhóm ransomware đã bắt đầu lợi dụng lỗ hổng này .
CVE-2026-56164 (CVSS 5.3, nhưng có thể khai thác từ xa mà không cần xác thực) — Lỗ hổng leo thang đặc quyền đang bị khai thác trong các cuộc tấn công để đánh cắp khóa máy IIS và giành quyền truy cập liên tục .
Tin tặc đang kết hợp các lỗ hổng này với nhau: sử dụng CVE-2026-32201 để xâm nhập ban đầu, CVE-2026-45659 hoặc CVE-2026-56164 để thực thi mã, và CVE-2026-55040 như một bộ khuếch đại để bỏ qua xác thực . Chiến dịch khai thác phối hợp này đã được một số nhà nghiên cứu đặt tên là "chuỗi SharePoint" .
helpnetsecurity.comAttackers exploit critical SharePoint flaw after PoC goes public (CVE ...
