CVE-2026-55040：SharePoint JWT驗證漏洞全面失守，攻擊者已開始大規模入侵

在資安公司Rapid7發布完整概念驗證（PoC）攻擊程式僅僅數日後，駭客已開始大規模攻擊未修補的微軟內部部署SharePoint伺服器。這項被追蹤為 CVE-2026-55040（CVSS 評分 9.1）的重大認證繞過漏洞，允許未經身分驗證的遠端攻擊者偽造JSON Web Token（JWT），進而冒充任何SharePoint使用者——包括網站管理員——無需密碼或有效工作階段即可入侵系統 。

微軟已在 2026年7月14日的Patch Tuesday 更新中修補此漏洞，受影響版本包括SharePoint Server Subscription Edition、2019及2016 Enterprise 。然而，根據全球網路掃描數據，目前仍有超過 8,500 台 SharePoint 伺服器暴露在網際網路上，攻擊窗口依然敞開 。

CVE-2026-55040 運作原理：JWT驗證失靈

漏洞根源是SharePoint JWT驗證管線中的弱認證缺陷（CWE-1390）。根據發現此漏洞的Rapid7指出，問題來自於SharePoint內部類別 SPJsonWebSecurityTokenHandlerV2 和 SPJsonWebSecurityBaseTokenHandlerV2 在解析Bearer服務對服務令牌時的 多個獨立弱點 。攻擊者可傳送特製的JWT，伺服器會因缺乏正確的密碼學驗證而信任該令牌，從而讓攻擊者有效冒充任何SharePoint網站使用者或伺服器陣列管理員 。

微軟對該漏洞的描述很直接：「由於此漏洞允許冒充，因此認證功能可能被繞過」。成功利用此漏洞，攻擊者可以揭露檔案及修改資料，但微軟表示無法影響系統可用性 。

揭露與武器化時間線

• 2026年7月14日：微軟與Rapid7共同揭露CVE-2026-55040並釋出修補程式 。
• 2026年8月10日：Rapid7發布詳細的技術分析 。
• 2026年8月12日：Rapid7以Python腳本形式公開發布PoC攻擊程式 。
• 2026年8月12日之後數日內：攻擊者開始在真實環境中積極武器化此漏洞 。

Rapid7研究員 Stephen Fewer 發現了此漏洞，並指出這是雙漏洞鏈的第一環，當與第二個（仍處於禁運狀態）漏洞結合時，可對易受攻擊的SharePoint伺服器實現 未經驗證的遠端程式碼執行 。

CISA緩解指引

美國網路安全暨基礎設施安全局（CISA）已於2026年7月14至15日發布緊急強化指引，並因應攻擊升級而更新內容 。執行內部部署SharePoint的組織應立即採取以下行動：

• 立即套用2026年7月累積更新 至伺服器陣列中的所有SharePoint伺服器。務必透過SharePoint產品設定精靈或PowerShell確認安裝成功——僅透過Windows Update並不能保證完整服務 。特定更新包含：SharePoint 2016適用的KB 5002891/KB 5002892，以及SharePoint 2019適用的KB 5002883 。
• 請勿將SharePoint伺服器直接暴露於網際網路。若確實需要網際網路存取，請將伺服器置於 第7層反向代理 或同等應用層安全設備之後，以強制執行認證並檢查請求 。
• 封鎖對SharePoint Central Administration的外部存取——此管理介面絕不應可從網際網路存取 。
• 啟用並確認每個SharePoint Web應用程式的AMSI（反惡意軟體掃描介面）整合 。
• 若出現任何遭入侵跡象，應輪換IIS機器金鑰，並在輪換遭竊憑證 之前 稽核入侵證據 。
• 建立客製化記錄與監控機制，以偵測異常的認證模式，並檢閱修補程式部署前的認證與權限紀錄 。

更廣泛的利用背景：另外三個已遭積極利用的CVE

CVE-2026-55040並非單一事件。在修補程式釋出的同一天，CISA證實另外 三個SharePoint CVE 已遭積極利用 ：

• CVE-2026-32201（CVSS 6.5）——因不當輸入驗證導致的偽造漏洞，至少從2026年4月就已被利用 。
• CVE-2026-45659（CVSS 8.8）——透過不可信任資料的反序列化實現的遠端程式碼執行漏洞。截至2026年8月11日，CISA證實 勒索軟體集團 已開始濫用此漏洞 。
• CVE-2026-56164（CVSS 5.3，但可遠端未經驗證利用）——一個權限提升漏洞，正被積極串聯攻擊以竊取IIS機器金鑰，實現持續存取 。

攻擊者正在串聯這些漏洞：利用CVE-2026-32201取得初始存取權、CVE-2026-45659或CVE-2026-56164進行程式碼執行，再以CVE-2026-55040作為認證繞過的攻擊倍增器 。這波協同攻擊行動已被部分研究人員稱為「SharePoint攻擊鏈」 。