La vulnerabilità di SharePoint sfruttata poco dopo la pubblicazione del PoC pubblico

Una vulnerabilità di Microsoft SharePoint corretta a luglio è ora oggetto di attacchi reali, secondo il monitoraggio dell’intelligence sulle minacce condotto dopo la pubblicazione di un exploit proof-of-concept pubblico.

Identificata come CVE-2026-55040, la vulnerabilità è descritta da Microsoft come un problema di autenticazione debole. Può consentire a un attaccante remoto non autenticato di aggirare un controllo di autenticazione attraverso la rete. Lo sfruttamento riuscito può permettere all’attaccante di accedere ai file, modificare i dati ed eseguire azioni con le autorizzazioni di un utente o amministratore di un sito SharePoint.

Microsoft ha risolto la vulnerabilità negli aggiornamenti di sicurezza di luglio 2026. Tuttavia, al momento della segnalazione, il suo avviso di sicurezza non era ancora stato aggiornato per confermare lo sfruttamento attivo. Gli avvisi di Microsoft vengono talvolta modificati dopo la raccolta di ulteriori prove.

La società di sicurezza Rapid7 ha pubblicato un’analisi tecnica e un proof-of-concept funzionante l’11 agosto. Il giorno successivo, la società di threat intelligence Defused ha dichiarato che i suoi honeypot avevano rilevato tentativi di sfruttamento della vulnerabilità. Secondo quanto riferito, l’attività utilizzava tecniche rispecchiate nel codice pubblicamente disponibile di Rapid7, suggerendo che gli attaccanti si siano mossi rapidamente dopo la pubblicazione.

Identificata un’ulteriore vulnerabilità di SharePoint

Rapid7 ha inoltre divulgato la CVE-2026-63520, una vulnerabilità distinta di SharePoint che potrebbe potenzialmente essere combinata con la CVE-2026-55040 per ottenere l’esecuzione di codice remoto senza autenticazione sui server interessati. Microsoft ha corretto la CVE-2026-63520 negli aggiornamenti del Patch Tuesday di agosto. Al momento non sono state segnalate prove dello sfruttamento di questa seconda vulnerabilità da parte degli attaccanti.

Un’ondata più ampia di attacchi contro SharePoint

Lo sviluppo si inserisce in un contesto di aumento dello sfruttamento delle vulnerabilità di SharePoint. Di recente, la Cybersecurity and Infrastructure Security Agency ha esortato le organizzazioni ad applicare gli aggiornamenti disponibili e a proteggere le proprie implementazioni di SharePoint, avvertendo che la CVE-2026-55040 potrebbe essere sfruttata. L’agenzia non aveva ancora aggiunto la vulnerabilità al proprio catalogo delle vulnerabilità note sfruttate.

Secondo quanto riferito, la CVE-2026-55040 è la quinta vulnerabilità di SharePoint associata ad attività di sfruttamento durante l’estate, dopo CVE-2026-50522, CVE-2026-58644, CVE-2026-56164 e CVE-2026-45659. Le informazioni pubbliche non hanno identificato i gruppi responsabili. Le organizzazioni che utilizzano SharePoint dovrebbero dare priorità agli aggiornamenti Microsoft pertinenti, verificare le istanze esposte e monitorare le attività di autenticazione e accesso ai file per individuare comportamenti sospetti.