CVE-2026-55040：SharePoint JWT 身份驗證漏洞正被大規模攻撃

黑客正在大規模攻擊 Microsoft SharePoint Server 嘅一個關鍵身份驗證漏洞，原因係網絡安全公司 Rapid7 幾日前公開咗完整嘅概念驗證（PoC）攻擊碼。呢個漏洞嘅編號係 CVE-2026-55040，CVSS 評分高達 9.1，屬於極嚴重級別。漏洞嘅問題在於 SharePoint 嘅 JWT 驗證機制有缺陷，黑客可以偽造 JSON Web Token（JWT），冒認任何 SharePoint 用戶，甚至管理員，完全唔需要密碼或者有效嘅 Session 。

Microsoft 喺 2026 年 7 月 14 日 嘅 Patch Tuesday 已經推出咗修補程式，影響嘅版本包括 SharePoint Server Subscription Edition、2019 同 2016 Enterprise 。不過，根據掃描數據，目前網上仍然有超過 8,500 部 SharePoint 伺服器暴露喺互聯網，所以黑客攻擊嘅窗口仍然好大 。

CVE-2026-55040 點樣運作？JWT 驗證機制嘅缺陷

呢個漏洞嘅根本原因係 SharePoint 嘅 JWT 驗證程序有一個弱認證問題（CWE-1390）。Rapid7 嘅研究人員發現，SharePoint 嘅 SPJsonWebSecurityTokenHandlerV2 同 SPJsonWebSecurityBaseTokenHandlerV2 呢兩個類別，喺處理 Bearer 服務對服務令牌嗰陣，存在幾個獨立嘅弱點 。黑客可以傳送一個特製嘅 JWT，令伺服器喺冇做完整加密驗證嘅情況下就信任佢，從而冒充任何 SharePoint 用戶或者伺服器管理員 。

Microsoft 嘅描述好簡單：「呢個漏洞可以繞過身份驗證功能，容許冒充身份。」 成功利用呢個漏洞嘅黑客可以竊取檔案同修改資料，但 Microsoft 話呢個漏洞唔會影響系統嘅可用性 。

披露同武器化嘅時間線

• 2026 年 7 月 14 日：Microsoft 同 Rapid7 公開 CVE-2026-55040，並推出修補程式 。
• 2026 年 8 月 10 日：Rapid7 發表詳細嘅技術分析 。
• 2026 年 8 月 12 日：Rapid7 以 Python 腳本形式公開 PoC 攻擊程式 。
• 8 月 12 日後幾日內：黑客開始大規模使用呢個漏洞進行攻擊 。

Rapid7 嘅研究員 Stephen Fewer 發現咗呢個漏洞。佢指出，呢個漏洞係一個兩漏洞攻擊鏈嘅第一部分，如果配合第二個（仲未公開嘅）漏洞，就可以實現未經認證嘅遠端程式碼執行，攻擊 SharePoint 伺服器 。

CISA 嘅緩解建議

CISA 喺 2026 年 7 月 14 日至 15 日發出咗緊急防護指引，之後因為攻擊升級再更新咗 。如果你哋公司用緊內部部署嘅 SharePoint，應該立即做以下措施：

• 立即安裝 2026 年 7 月嘅累積更新，要喺農場入面每一部 SharePoint 伺服器都安裝。安裝之後要透過 SharePoint Products Configuration Wizard 或者 PowerShell 確認成功，就咁行 Windows Update 唔保證一定會完整更新 。具體更新包括：SharePoint 2016 嘅 KB 5002891/KB 5002892，SharePoint 2019 嘅 KB 5002883 。
• 唔好將 SharePoint 伺服器直接暴露喺互聯網。如果一定要提供互聯網存取，就要放喺 Layer 7 反向代理或者同等嘅應用層安全設備後面，呢啲設備會強制做身份驗證同檢查請求 。
• 封鎖 SharePoint Central Administration 嘅外部存取——呢個管理介面絕對唔可以喺互聯網存取到 。
• 啟用並確認 AntiMalware Scan Interface（AMSI）整合，每個 SharePoint 網頁應用程式都要做 。
• 如果懷疑有入侵跡象，就要輪換 IIS Machine Key，而且要喺輪換被盜嘅憑證之前檢查同清除入侵痕跡 。
• 建立專門嘅記錄同監控機制，偵測異常嘅身份驗證模式，檢查更新部署前嘅身份驗證同權限記錄 。

更大規模嘅攻擊背景：三個 SharePoint 漏洞已經被利用

CVE-2026-55040 唔係獨立事件。喺修補程式推出嘅同日，CISA 確認咗另外三個 SharePoint 漏洞都已經被黑客利用 ：

• CVE-2026-32201（CVSS 6.5）—— 一個由於輸入驗證不當導致嘅偽造漏洞，至少由 2026 年 4 月已經開始被利用 。
• CVE-2026-45659（CVSS 8.8）—— 一個由於反序列化不可信數據導致嘅遠端程式碼執行漏洞。截至 2026 年 8 月 11 日，CISA 確認勒索軟件集團已經開始利用呢個漏洞 。
• CVE-2026-56164（CVSS 5.3，但可以遠端未經認證利用）—— 一個權限提升漏洞，黑客會鏈結其他漏洞偷取 IIS Machine Key，達致持續存取 。

黑客會將呢啲漏洞組合使用：先用 CVE-2026-32201 做初始入侵，再用 CVE-2026-45659 或 CVE-2026-56164 執行任意程式碼，而 CVE-2026-55040 就做身份驗證繞過嘅放大器 。有研究人員將呢個協調攻擊行動叫做「SharePoint 攻擊鏈」。