CVE-2026-55040：SharePoint JWT认证绕过漏洞正遭大规模攻击

攻击者正在活跃利用微软本地部署SharePoint服务器中的一个关键认证绕过漏洞，距安全公司Rapid7发布完整概念验证（PoC）攻击代码仅数天。该漏洞编号为 CVE-2026-55040，CVSS评分9.1，允许未经身份验证的远程攻击者伪造JSON Web令牌（JWT），冒充任意SharePoint用户——包括网站管理员——无需密码或有效会话即可实现 。

微软已在 2026年7月14日的Patch Tuesday 更新中修补此漏洞，影响SharePoint Server Subscription Edition、2019和2016 Enterprise 。然而，根据互联网范围扫描结果，仍有超过8,500台SharePoint服务器暴露在线，攻击者的机会窗口依然敞开 。

CVE-2026-55040 工作原理：JWT验证失败

根本原因在于SharePoint JWT验证管线中存在一个弱认证缺陷（CWE-1390）。据发现该漏洞的Rapid7称，该漏洞源于SharePoint的 SPJsonWebSecurityTokenHandlerV2 和 SPJsonWebSecurityBaseTokenHandlerV2 类在解析Bearer服务间令牌时的 若干不同弱点 。攻击者可发送一个精心构造的JWT，服务器在未经适当加密验证的情况下即信任该令牌，从而使其能够以任意SharePoint站点用户或服务器场管理员的身份执行操作 。

微软对漏洞的描述很简单："认证功能可被绕过，因为此漏洞允许冒充" 。成功利用可让攻击者泄露文件和修改数据，但微软指出其不会影响系统可用性 。

披露与武器化时间线

• 2026年7月14日：微软与Rapid7披露CVE-2026-55040，并推送补丁 。
• 2026年8月10日：Rapid7发布漏洞的详细技术分析 。
• 2026年8月12日：Rapid7以Python脚本形式发布公开PoC利用代码 。
• 8月12日之后数天内：攻击者开始在现实环境中活跃武器化该利用代码 。

Rapid7研究员Stephen Fewer发现此漏洞，并指出它是一个两漏洞链中的第一个，当与第二个（仍处于禁运状态）漏洞结合时，可实现对易受攻击的SharePoint服务器的 未经身份验证的远程代码执行 。

CISA缓解指导

CISA于2026年7月14日至15日发布紧急加固指南，并在利用行为升级后进行了更新 。运行本地部署SharePoint的组织应立即采取以下行动：

• 立即在所有SharePoint服务器上应用2026年7月累积更新。通过SharePoint产品配置向导或PowerShell验证安装是否成功——仅通过Windows Update无法保证完整服务 。具体更新包括SharePoint 2016的KB 5002891/KB 5002892以及SharePoint 2019的KB 5002883 。
• 不要将SharePoint服务器直接暴露在互联网上。如需互联网访问，应将服务器置于 第7层反向代理 或同等应用层安全设备之后，该设备应强制执行认证并检查请求 。
• 封锁对SharePoint Central Administration的外部访问——此管理界面绝不应从互联网可达 。
• 为每个SharePoint Web应用程序启用并验证反恶意软件扫描接口（AMSI）集成 。
• 如有任何失陷迹象，立即轮换IIS机器密钥，并在轮换被盗凭证 之前 审计入侵痕迹 。
• 建立定制化日志记录和监控以检测异常的认证模式，并审查部署补丁之前的认证和权限日志 。

更广泛的利用背景：另外三枚正在被活跃利用的CVE

CVE-2026-55040并非孤立事件。在补丁推送的同一天，CISA确认了 另外三枚SharePoint CVE 正在被活跃利用 ：

• CVE-2026-32201（CVSS 6.5）——因不当输入验证导致的欺骗漏洞，至少自2026年4月起已被利用 。
• CVE-2026-45659（CVSS 8.8）——通过对不可信数据进行反序列化实现的远程代码执行。截至2026年8月11日，CISA确认 勒索软件团伙 已开始滥用此缺陷 。
• CVE-2026-56164（CVSS 5.3，但可在无需认证的情况下远程利用）——一个权限提升漏洞，正在攻击中被链式利用以窃取IIS机器密钥并实现持久化访问 。

攻击者正在将这些漏洞链式组合：使用CVE-2026-32201获得初始立足点，使用CVE-2026-45659或CVE-2026-56164实现代码执行，并将CVE-2026-55040作为认证绕过的“力量倍增器” 。一些研究人员将此次协调利用行动称为“SharePoint链” 。