Il bypass dell’autenticazione di SharePoint preso di mira dopo la divulgazione del PoC

Secondo quanto riferito, gli autori delle minacce hanno iniziato a prendere di mira una vulnerabilità critica di Microsoft SharePoint poco dopo che i ricercatori di sicurezza hanno pubblicato il codice exploit proof-of-concept.

Identificata come CVE-2026-55040, la falla ha ottenuto un punteggio CVSS di 9,1 ed è stata corretta da Microsoft con gli aggiornamenti di sicurezza di luglio 2026. La vulnerabilità è classificata come un bypass dell’autenticazione causato da debolezze nel processo di convalida dei token di SharePoint. Microsoft ha dichiarato che lo sfruttamento potrebbe consentire a un attaccante di impersonare un utente, leggere file e modificare dati, ma non offre un modo per compromettere la disponibilità del sistema.

Secondo Defused Cyber, gli attaccanti stanno utilizzando il codice proof-of-concept pubblicato da Rapid7 all’inizio di agosto. L’analisi di Rapid7 ha rilevato che il problema deriva da molteplici debolezze nella gestione dei token Bearer da servizio a servizio. Combinandosi, tali debolezze possono consentire a un attaccante remoto non autenticato di creare un token accettato da SharePoint e utilizzarlo per impersonare un utente del sito, incluso un amministratore.

La dimostrazione basata su Python di Rapid7 può interrogare il controller di dominio della vittima ed enumerare gli identificativi di sicurezza degli utenti, contribuendo a individuare gli account con privilegi elevati in SharePoint. La ricerca ha evidenziato difetti nell’analisi dei token, nella gestione dei certificati, nella convalida dell’emittente e nella verifica delle firme.

La telemetria di KEVIntel ha registrato 12 tentativi di sfruttamento sospetti a partire dal 19 luglio. Otto si sono verificati il 12 e il 13 agosto, poco dopo che il PoC è diventato disponibile pubblicamente. L’attività ha coinvolto otto indirizzi IP associati a località di Hong Kong, Giappone, Paesi Bassi, Taiwan e Stati Uniti. I ricercatori non hanno attribuito l’attività a uno specifico gruppo di minacce né determinato gli obiettivi degli attaccanti.

Azioni consigliate

Le organizzazioni che utilizzano SharePoint dovrebbero verificare che gli aggiornamenti Microsoft di luglio 2026 siano stati installati su tutti i server interessati. Gli amministratori dovrebbero inoltre esaminare i log di autenticazione e dei server web alla ricerca di richieste insolite non autenticate, impersonificazioni inattese di account o accessi a file sensibili. Secondo quanto riferito, CVE-2026-55040 è la quinta vulnerabilità di SharePoint osservata in fase di sfruttamento attivo nel 2026, sottolineando la necessità di distribuire rapidamente le patch e mantenere un monitoraggio costante.