CISA aggiunge la RCE di SharePoint CVE-2026-45659 all’elenco delle vulnerabilità sfruttate

L’Agenzia statunitense per la sicurezza informatica e delle infrastrutture ha aggiunto al proprio catalogo delle vulnerabilità note sfruttate una falla di esecuzione di codice da remoto in Microsoft SharePoint Server, identificata come CVE-2026-45659, dopo aver confermato che viene sfruttata attivamente in natura.

Il problema ha un punteggio CVSS di 8,8 e deriva dalla deserializzazione non sicura di dati non attendibili. Microsoft ha corretto la vulnerabilità a maggio 2026 nelle versioni SharePoint Server Subscription Edition, SharePoint Server 2019 e SharePoint Enterprise Server 2016. Secondo il fornitore, un attaccante con accesso autenticato e almeno autorizzazioni di base come membro del sito può sfruttare la falla per eseguire codice da remoto su un server vulnerabile.

L’inclusione della vulnerabilità da parte della CISA significa che le agenzie del ramo esecutivo civile federale degli Stati Uniti devono dare priorità alla correzione. L’agenzia ha fissato al 4 luglio 2026 la scadenza per applicare la patch. Al momento, le autorità non hanno identificato pubblicamente gli attori responsabili dello sfruttamento né gli obiettivi delle campagne.

Cosa ha osservato Microsoft

L’avviso segue comunicazioni separate di Microsoft riguardanti attività di minaccia sovrapposte negli ambienti aziendali. In un caso, Microsoft ha dichiarato che un’indagine su un ransomware ha rivelato la presenza simultanea di due diversi gruppi di attaccanti nella stessa rete, impegnati nell’uso di tecniche progettate per mantenere l’accesso e ostacolare il rilevamento.

Un cluster è stato collegato a Storm-2603, un gruppo associato al ransomware Warlock. Microsoft ha dichiarato che l’attività comprendeva il sospetto sfruttamento di una vulnerabilità diversa, insieme a strumenti e servizi comunemente utilizzati per operare in modo furtivo e mantenere la persistenza, tra cui Velociraptor, il tunneling di Cloudflare, Zoho Assist e l’accesso SSH tramite Visual Studio Code. Gli investigatori hanno inoltre rilevato tentativi di aumentare i privilegi e indebolire le difese degli endpoint.

È stato inoltre individuato un secondo gruppo di attori, non correlato, che utilizzava il DLL side-loading e backdoor personalizzate. In seguito Microsoft ha stabilito che l’attività si era diffusa in un’altra organizzazione, dimostrando che l’operazione ransomware era più ampia di quanto ritenuto inizialmente.

Considerazioni chiave per i responsabili della difesa

• Applicare quanto prima le patch di Microsoft per SharePoint.
• Esaminare i log di autenticazione e le attività di accesso remoto sui server SharePoint.
• Monitorare la creazione imprevista di account amministratore e la presenza di strumenti di tunneling sospetti.
• Considerare molteplici segnali di intrusione come potenzialmente correlati fino a prova contraria.

Microsoft ha dichiarato che la sovrapposizione delle tecniche ha complicato l’attribuzione e ha aiutato gli attaccanti a rimanere più a lungo negli ambienti compromessi.