CVE-2026-55040: Lỗ hổng bỏ qua xác thực JWT trong SharePoint đang bị tin tặc khai thác hàng loạt

Cơ chế hoạt động của CVE-2026-55040: Lỗ hổng xác thực JWT

Nguyên nhân gốc rễ là một lỗ hổng xác thực yếu (CWE-1390) trong quy trình xác thực JWT của SharePoint. Theo Rapid7, đơn vị phát hiện ra lỗi, điểm yếu này bắt nguồn từ một số điểm yếu riêng biệt trong cách các lớp SPJsonWebSecurityTokenHandlerV2 và SPJsonWebSecurityBaseTokenHandlerV2 của SharePoint phân tích các token Bearer (dịch vụ với dịch vụ) . Kẻ tấn công có thể gửi một JWT được chế tạo sẵn mà máy chủ tin tưởng mà không cần xác minh mật mã, trên thực tế cho phép chúng đóng giả danh tính của bất kỳ người dùng trang SharePoint hay quản trị viên nông trại nào .

Microsoft mô tả lỗ hổng một cách đơn giản: "Tính năng xác thực có thể bị bỏ qua do lỗ hổng này cho phép mạo danh" . Khai thác thành công cho phép kẻ tấn công tiết lộ tệp tin và sửa đổi dữ liệu, mặc dù Microsoft cho biết nó không thể ảnh hưởng đến tính khả dụng của hệ thống .

Dòng thời gian tiết lộ và vũ khí hóa

• 14/7/2026: Microsoft và Rapid7 tiết lộ CVE-2026-55040 và phát hành bản vá .
• 10/8/2026: Rapid7 công bố một phân tích kỹ thuật chi tiết về lỗ hổng .
• 12/8/2026: Rapid7 phát hành mã khai thác PoC công khai dưới dạng script Python .
• Trong vòng vài ngày sau 12/8: Tin tặc bắt đầu tích cực vũ khí hóa mã khai thác trên thực tế .

Nhà nghiên cứu Stephen Fewer của Rapid7 là người phát hiện ra lỗ hổng, lưu ý rằng đây là lỗ hổng đầu tiên trong chuỗi hai lỗ hổng, khi kết hợp với lỗ hổng thứ hai (vẫn đang bị phong tỏa), có thể đạt được khả năng thực thi mã từ xa chưa xác thực trên các máy chủ SharePoint dễ bị tấn công .

Hướng dẫn giảm thiểu từ CISA

CISA đã ban hành hướng dẫn tăng cường bảo mật khẩn cấp vào ngày 14–15/7/2026 và cập nhật khi tình hình leo thang . Các tổ chức đang chạy SharePoint nội bộ cần thực hiện ngay các hành động sau:

• Áp dụng các bản cập nhật tích lũy tháng 7/2026 cho tất cả các máy chủ SharePoint trong hệ thống. Xác minh cài đặt thành công thông qua SharePoint Products Configuration Wizard hoặc PowerShell — chỉ cập nhật Windows Update không đảm bảo dịch vụ đầy đủ . Các bản cập nhật cụ thể bao gồm KB 5002891/KB 5002892 cho SharePoint 2016 và KB 5002883 cho SharePoint 2019 .
• Không để máy chủ SharePoint tiếp xúc trực tiếp với internet. Nếu cần truy cập internet, hãy đặt máy chủ phía sau một proxy ngược lớp 7 hoặc thiết bị bảo mật lớp ứng dụng tương đương, nơi thực thi xác thực và kiểm tra các yêu cầu .
• Chặn truy cập từ bên ngoài vào SharePoint Central Administration — giao diện quản trị này không bao giờ được truy cập từ internet .
• Kích hoạt và xác minh tích hợp Giao diện Quét Chống Phần mềm Độc hại (AMSI) cho mọi ứng dụng web SharePoint .
• Xoay vòng khóa máy IIS nếu có bất kỳ dấu hiệu xâm nhập nào, và kiểm tra các dấu hiệu xâm nhập trước khi xoay các thông tin xác thực đã bị đánh cắp .
• Thiết lập ghi nhật ký và giám sát phù hợp để phát hiện các mẫu xác thực bất thường, đồng thời xem xét nhật ký xác thực và quyền cho giai đoạn trước khi triển khai bản vá .

Bối cảnh khai thác rộng hơn: Ba lỗ hổng CVE khác đang bị tấn công

CVE-2026-55040 không phải là sự cố cá biệt. Cùng ngày các bản vá được phát hành, CISA đã xác nhận việc khai thác tích cực ba lỗ hổng SharePoint khác :

• CVE-2026-32201 (CVSS 6.5) — Lỗ hổng giả mạo do xác thực đầu vào không đúng, bị khai thác từ ít nhất tháng 4/2026 .
• CVE-2026-45659 (CVSS 8.8) — Thực thi mã từ xa thông qua giải tuần tự hóa dữ liệu không đáng tin cậy. Tính đến ngày 11/8/2026, CISA xác nhận rằng các băng nhóm ransomware đã bắt đầu lợi dụng lỗ hổng này .
• CVE-2026-56164 (CVSS 5.3, nhưng có thể khai thác từ xa mà không cần xác thực) — Lỗ hổng leo thang đặc quyền đang bị khai thác trong các cuộc tấn công để đánh cắp khóa máy IIS và giành quyền truy cập liên tục .

Tin tặc đang kết hợp các lỗ hổng này với nhau: sử dụng CVE-2026-32201 để xâm nhập ban đầu, CVE-2026-45659 hoặc CVE-2026-56164 để thực thi mã, và CVE-2026-55040 như một bộ khuếch đại để bỏ qua xác thực . Chiến dịch khai thác phối hợp này đã được một số nhà nghiên cứu đặt tên là "chuỗi SharePoint" .