CISA avverte di attacchi attivi contro tre vulnerabilità di SharePoint Server

La Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha esortato le organizzazioni che utilizzano Microsoft SharePoint Server on-premises a rafforzare le proprie difese dopo aver confermato che tre vulnerabilità sono sfruttate negli attacchi.

L'avviso riguarda le distribuzioni supportate di SharePoint Server. La CISA ha evidenziato CVE-2026-32201, una vulnerabilità di spoofing con un punteggio di 6,5; CVE-2026-45659, una vulnerabilità di esecuzione di codice da remoto con un punteggio di 8,8; e CVE-2026-56164, una vulnerabilità di escalation dei privilegi con un punteggio di 5,3. Microsoft ha divulgato la prima vulnerabilità a marzo, mentre lo sfruttamento della seconda è stato segnalato a giugno. La terza è stata inclusa nel rilascio del Patch Tuesday di luglio.

L'agenzia ha inoltre identificato due ulteriori vulnerabilità critiche che potrebbero aumentare i rischi per gli ambienti SharePoint. CVE-2026-55040 ha un punteggio di gravità pari a 9,1, mentre CVE-2026-58644 è valutata 9,8. Nessuna delle due è stata confermata come sfruttata, ma Microsoft le ha classificate entrambe come più probabilmente soggette a targeting.

Attività successive alla compromissione

Secondo la CISA, le vulnerabilità sfruttate sono state collegate ad attività successive alla compromissione iniziale. Secondo quanto riferito, gli aggressori hanno cercato di sottrarre le chiavi macchina di Internet Information Services e di utilizzare tecniche di deserializzazione per mantenere l'accesso e installare malware.

L'agenzia ha indirizzato i responsabili della difesa a un precedente avviso relativo agli attacchi “ToolShell” contro SharePoint. La campagna prevedeva l'utilizzo concatenato di due vulnerabilità precedenti, CVE-2025-49706 e CVE-2025-49704. La CISA ha dichiarato che tali attacchi avevano portato, in alcuni casi, alla distribuzione del ransomware Warlock. L'agenzia non ha attribuito le attività più recenti a uno specifico gruppo di minacce o Paese.

Azioni consigliate

La CISA ha consigliato alle organizzazioni di applicare gli attuali aggiornamenti di sicurezza di Microsoft per SharePoint e di verificare che l'integrazione con Antimalware Scan Interface sia abilitata per ogni applicazione web SharePoint. I responsabili della difesa dovrebbero inoltre cercare prove di compromissione prima di ruotare le chiavi macchina di IIS, poiché modificarle prematuramente può rimuovere informazioni utili per analizzare un'intrusione.

• Limitare, ove possibile, l'esposizione di SharePoint a Internet.
• Limitare l'accesso esterno all'amministrazione centrale di SharePoint.
• Mantenere una registrazione personalizzata degli eventi in grado di identificare lo sfruttamento e le attività successive alla compromissione.
• Condurre attività di threat hunting negli ambienti interessati prima di apportare modifiche per il ripristino.