Gli attori minaccia hanno iniziato a sfruttare CVE-2026-55040 sui server Microsoft SharePoint on-premises entro il 12 agosto 2026, meno di 24 ore dopo la pubblicazione del proof-of-concept di Rapid7. La vulnerabilità, corretta il 14 luglio ma resa pubblica l'11 agosto, consente il bypass dell'autenticazione JWT e l'impersonificazione di amministratori senza credenziali. È la quinta falla SharePoint sfruttata nel 2026, secondo The Hacker News.
- CVE-2026-55040 ha CVSS 9.1 (Critical): permette a un attaccante remoto non autenticato di forgiare token JWT e impersonare qualsiasi utente SharePoint, inclusi amministratori di dominio.
- La causa è una catena di quattro debolezze nella pipeline di validazione JWT di SharePoint, con
RequireSignedTokens = falseche accetta l'algoritmoalg: nonesenza verifica crittografica. - Il PoC Rapid7 è stato pubblicato l'11 agosto 2026; già il 12 agosto Defused Cyber ha registrato attacchi ai propri honeypot con il codice esatto.
- SharePoint Server 2016 e 2019 sono fine supporto dal 14 luglio 2026: le istanze non migrate rimangono permanentemente esposte, con oltre 8.500 server visibili su internet secondo Shadowserver.
Il meccanismo: quattro passaggi per aggirare l'intera catena JWT
La ricerca di Rapid7, presentata a Pwn2Own Berlin e divulgata a Microsoft il 18 maggio 2026, ha decompilato le classi SPJsonWebSecurityTokenHandlerV2 e SPJsonWebSecurityBaseTokenHandlerV2 della DLL Microsoft.SharePoint.IdentityModel.dll. Il codice mostra quattro errori concatenati che rendono la validazione del token inefficace.
Il primo è la dichiarazione RequireSignedTokens = false, che accetta intestazioni JWT con "alg": "none" senza richiedere alcuna firma. Il secondo permette di risolvere il certificato STS di SharePoint stesso da un endpoint metadata non autenticato, usando l'header x5t dell'actor token. Il terzo non verifica che il certificato risolto appartenga a TrustedSecurityTokenServices, accettando qualsiasi emittente. Il quarto, infine, controlla solo che la firma non sia vuota — accettando ad esempio "AAAA" — senza verificarla crittograficamente.
Stephen Fewer di Rapid7 ha sintetizzato: un attaccante remoto non autenticato può sfruttare CVE-2026-55040 per bypassare l'autenticazione su un server SharePoint vulnerabile e operare come utente o amministratore del sito. La concatenazione trasforma quattro controlli difettosi in un unico vettore di impersonificazione arbitraria.
Dalla patch al fuoco: cronologia di 28 giorni
Microsoft ha rilasciato la correzione il 14 luglio 2026 nel consueto Patch Tuesday, con le KB 5002882 (build 16.0.19725.20434) per la Subscription Edition e 5002883 (build 16.0.10417.20175) per SharePoint Server 2019. La build per SharePoint 2016 è la 16.0.5561.1001 tramite KB5002891. La versione online, SharePoint Online, non è affetta.
Rapid7 ha pubblicato l'analisi tecnica completa e il PoC Python l'11 agosto. Entro la giornata successiva, Defused Cyber ha segnalato su X: "Gli attaccanti stanno ora usando il PoC @rapid7 per CVE-2026-55040 contro i nostri honeypot SharePoint. La vulnerabilità è un bypass di autenticazione JWT per cui Rapid7 ha pubblicato un writeup tecnico e codice proof-of-concept ieri." La conferma indipendente è arrivata da SecurityWeek, CybersecurityNews e HelpNetSecurity.
KEVIntel ha tracciato 12 tentativi di sfruttamento dal 19 luglio 2026, con 8 concentrati tra il 12 e il 13 agosto — le 48 ore immediatamente successive al PoC. Gli attacchi provengono da 8 indirizzi IP unici distribuiti in cinque aree geografiche: Hong Kong, Giappone, Paesi Bassi, Taiwan e Stati Uniti. Non emerge l'identità specifica degli operatori né i loro obiettivi finali.
"The authentication feature could be bypassed as this vulnerability allows impersonation. Exploiting this vulnerability could allow an attacker to disclose files and modify data, but the attacker cannot impact the availability of the system." — Microsoft MSRC advisory
Il contesto normativo: RFC 8725 del 2020 vietava già "alg: none"
La classe di vulnerabilità JWT con algoritmo none è documentata dal 2015. L'IETF l'ha esplicitamente deprecata con la RFC 8725 del febbraio 2020, che raccomanda alle implementazioni di rifiutare tale valore. Il codice SharePoint del 2026 ha reintrodotto un pattern giudicato pericoloso da oltre un decennio, rendendo questa falla un caso di non conformità agli standard piuttosto che una scoperta di ricerca offensiva.
L'advisory Microsoft MSRC classificava originariamente la vulnerabilità come "Exploited: No". Lo status è stato aggiornato dall'inserimento nella lista KEV del 18 agosto 2026 da parte di CISA, sette giorni dopo la conferma honeypot di Defused.
La stessa catena di autenticazione può essere concatenata con CVE-2026-63520 (CVSS 8.1 HIGH), una falla separata corretta nell'aggiornamento di agosto 2026, per ottenere esecuzione remota di codice non autenticata. Non risulta al momento alcuna evidenza che questa catena RCE sia stata attivata in exploit reali.
Cosa fare adesso
- Applicare KB5002882, KB5002883 o KB5002891 a tutte le istanze SharePoint Server Subscription Edition, 2019 e 2016 ancora supportate; le build corrette sono rispettivamente 16.0.19725.20434, 16.0.10417.20175 e 16.0.5561.1001.
- Verificare la presenza di accessi anomali nel periodo 14 luglio-oggi, data in cui la patch esisteva ma la falla era pubblicamente nota solo dopo l'11 agosto.
- Valutare la migrazione da SharePoint 2016 e 2019, giunti a fine supporto esteso il 14 luglio 2026: queste versioni non riceveranno correzioni per vulnerabilità future.
- Isolare o mettere sotto monitoraggio i server on-premises esposti direttamente a internet, dato che Shadowserver rileva oltre 8.500 installazioni accessibili pubblicamente.
Perché il caso solleva domande sul ciclo di sviluppo
La ricomparsa di alg: none in un prodotto enterprise di primo livello nel 2026, contro raccomandazioni standard consolidate da cinque anni, indica una lacuna nel processo di security review del codice SharePoint. Non è una vulnerabilità zero-day nel senso di tecnica mai vista: è una reimplementazione di un errore archiviale, resa letale dalla visibilità internet dei server on-premises e dalla velocità con cui il PoC ha attraversato il confine ricerca-crimine.
Il passaggio da patch disponibile a exploit attivo ha richiesto circa quattro settimane, ma la finestra critica è stata l'intervallo 11-12 agosto, quando la pubblicazione tecnica ha fornito l'arma mancante. L'assenza di adozione patch nel periodo pre-PoC, unita all'end-of-support contemporaneo delle versioni 2016 e 2019, lascia una popolazione significativa di server in condizione di esposizione permanente. Il dato di Shadowserver sulle oltre 8.500 installazioni pubbliche misura il perimetro, non l'impatto: il numero di compromissioni riuscite nei sistemi di produzione non è quantificato dalle fonti disponibili.
Fonti
- https://thehackernews.com/2026/08/attackers-exploit-sharepoint.html
- https://cybersecuritynews.com/microsoft-sharepoint-vulnerability-exploited-2/
- https://www.securityweek.com/sharepoint-vulnerability-exploited-shortly-after-poc-release/
- https://www.rapid7.com/blog/post/ve-cve-2026-55040-microsoft-sharepoint-jwt-token-authentication-bypass-fixed/
- https://www.helpnetsecurity.com/2026/08/13/microsoft-sharepoint-cve-2026-55040-poc-exploit/
- https://www.rapid7.com/blog/post/ra-microsoft-sharepoint-jwt-token-authentication-bypass-cve-2026-55040/
- https://www.techtimes.com/articles/324475/20260814/sharepoint-cve-2026-55040-actively-exploited-attackers-forge-admin-credentials-no-password.htm
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-55040
- https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-55040
- https://support.microsoft.com/en-us/servicing/office/update/2026/5002882
- https://support.microsoft.com/en-us/servicing/office/update/2026/5002883
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.