CISA aggiunge la RCE di Microsoft SharePoint all’elenco delle vulnerabilità sfruttate dopo l’emergere di attacchi attivi

CISA ha inserito una vulnerabilità di esecuzione di codice da remoto di Microsoft SharePoint nel proprio catalogo delle vulnerabilità note sfruttate, dopo aver stabilito che il problema viene utilizzato in attacchi attivi.

La vulnerabilità, tracciata come CVE-2026-45659, interessa SharePoint Server Subscription Edition locale, SharePoint Server 2019 e SharePoint Enterprise Server 2016. Microsoft ha corretto la falla a maggio, ma l’inserimento da parte dell’agenzia nell’elenco KEV indica che gli autori delle minacce hanno iniziato a sfruttarla attivamente.

Il bug è legato a una deserializzazione non sicura e non richiede la pre-autenticazione. Tuttavia, lo sfruttamento rimane accessibile agli aggressori che dispongono di un accesso legittimo a un ambiente SharePoint. Microsoft ha dichiarato che un utente autenticato con privilegi di Membro del sito minimi potrebbe attivare l’esecuzione di codice da remoto su un server vulnerabile attraverso la rete.

Cosa dichiarano Microsoft e CISA

• Quando è stata rilasciata la patch, Microsoft ha valutato il problema come difficile da sfruttare in scenari reali, descrivendo lo sfruttamento come meno probabile.
• L’inserimento nell’elenco KEV di CISA mostra che da allora lo sfruttamento attivo è stato confermato.
• La falla ha un punteggio CVSS di 8,8, che riflette un impatto di gravità elevata.

CISA non ha identificato gli aggressori né dichiarato quante organizzazioni potrebbero essere già interessate. Tuttavia, l’agenzia ha avvertito che le vulnerabilità di questo tipo vengono comunemente sfruttate e possono rappresentare un rischio significativo per i sistemi federali.

Alle agenzie civili federali è stato chiesto di seguire la Binding Operational Directive 26-04 e applicare la correzione di Microsoft entro il 4 luglio. Se la mitigazione non è possibile, le agenzie dovranno interrompere l’utilizzo dei prodotti interessati.

La situazione evidenzia uno schema ricorrente nella risposta alle vulnerabilità: una volta rese pubbliche le patch, gli aggressori spesso si muovono rapidamente per sottoporle a reverse engineering e prendere di mira i sistemi che non sono ancora stati aggiornati. Per le organizzazioni che gestiscono server SharePoint esposti a Internet, la nuova voce nell’elenco KEV è un chiaro segnale della necessità di verificare immediatamente lo stato delle patch e ridurre l’esposizione.