Il 15 luglio 2026 Trend Micro ha reso pubblica l'advisory ZDI-26-418, completando una disclosure coordinata iniziata il 7 maggio con Microsoft. La vulnerabilità riguarda la classe SPFieldMultiLineText di SharePoint, permette attacchi cross-site scripting con impatto totale su confidenzialità e integrità, e ha un punteggio CVSS 8.1 che la colloca nel range High. La criticità reale sta in un contrasto: Microsoft la classifica come 'Spoofing' con 'Exploitation Less Likely', ma i vettori di attacco e la combinazione AC:L (accesso complessità bassa) più AV:N (rete) la rendono più pericolosa del livello di percezione aziendale.
- La vulnerabilità CVE-2026-55126 (ZDI-26-418) risiede nella classe
SPFieldMultiLineTextdi Microsoft SharePoint, usata per i campi di testo multilinea. - Un attaccante autenticato con privilegi bassi può iniettare script arbitrari per eseguire richieste web con i privilegi dell'utente che visualizza il contenuto malevolo.
- Il CVSS v3.1 è 8.1 con vettore
AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N: impatto totale su confidenzialità e integrità, nessun impatto su disponibilità. - Microsoft ha rilasciato una patch prima della disclosure pubblica; l'exploitability assessment indica 'Exploitation Less Likely' con nessun exploit pubblico noto al momento della pubblicazione.
Il meccanismo: validazione assente nella classe SPFieldMultiLineText
La SPFieldMultiLineText è una classe fondamentale nelle liste e nelle librerie SharePoint, responsabile della gestione dei campi che accettano input testuale su più righe. Secondo l'advisory ZDI, il difetto nasce dalla "mancanza di validazione corretta dei dati forniti dall'utente", che consente l'injection di script arbitrario nel flusso di generazione della pagina web.
"The specific flaw exists within the SPFieldMultiLineText class. The issue results from the lack of proper validation of user-supplied data, which can lead to the injection of an arbitrary script." — ZDI Advisory ZDI-26-418
Il payload viene eseguito nel contesto di sicurezza dell'utente che visualizza il campo. Questo significa che un attaccante con accesso utente di base—sufficiente per creare o modificare un elemento SharePoint che contiene un campo multilinea—può compromettere sessioni di utenti con privilegi superiori, inclusi amministratori di sito e owner, se questi accedono al contenuto malevolo.
Il vettore di attacco: bassa barriera tecnica, alta efficacia
La combinazione AV:N (Attack Vector: Network) e AC:L (Attack Complexity: Low) indica che l'exploit non richiede condizioni speciali di rete né competenze avanzate. Il fattore limitante è UI:R (User Interaction: Required): la vittima deve visitare una pagina o aprire un file malevolo. Microsoft precisa nella FAQ della advisory: "An authorized attacker must send the user a malicious link and convince the user to open it."
Il requisito PR:L (Privileges Required: Low) conferma che non servono privilegi amministrativi: un account utente standard con permessi di contribuzione a una lista SharePoint è sufficiente. In ambienti aziendali con centinaia o migliaia di utenti con accesso contribuzione, la superficie di attacco è sostanziale. Il dato S:U (Scope: Unchanged) indica che il codice malevolo non può estendersi oltre i privilegi della vittima, ma con C:H e I:H l'impatto su confidenzialità e integrità è totale all'interno di quel contesto.
La discrepanza di classificazione: 'Spoofing' contro CVSS 8.1
Microsoft descrive CVE-2026-55126 come "Improper neutralization of input during web page generation ('cross-site scripting')" che "allows an authorized attacker to perform spoofing over a network". La scelta del termine 'spoofing' ha conseguenze operative: nei sistemi di prioritizzazione automatica delle patch aziendali, questa classificazione può deprioritizzare la vulnerabilità rispetto a 'Remote Code Execution' o 'Elevation of Privilege'.
Ma il vettore CVSS racconta una storia diversa. Il punteggio 8.1 è calcolato su impatto totale su due dei tre assi della triade CIA, con accesso remoto e bassa complessità. L'esploitabilità (E:U, Exploit maturity: Unproven) e l'assessment 'Exploitation Less Likely' riducono il rischio immediato, ma non annullano la facilità di sfruttamento una volta disponibile un proof-of-concept. ZDI ha coordinato la disclosure per 69 giorni: il tempo tra il report iniziale (7 maggio) e la release pubblica (15 luglio) suggerisce una validazione e correzione senza contrattempi, ma non fornisce informazioni sulla diffusione del fix nelle aziende.
La lettura redazionale è che la classificazione 'spoofing' sottovaluta il profilo di rischio reale. Un XSS stored o reflected in SharePoint, con esecuzione nel contesto dell'utente autenticato, abilita furto di sessione, modifica non autorizzata di contenuti, e azioni automatizzate con i privilegi della vittima. Questi impatti superano la definizione stretta di spoofing (falsificazione di identità) e si avvicinano di più a una compromissione funzionale del sistema informativo.
Cosa fare adesso
- Verificare l'applicazione della patch Microsoft per CVE-2026-55126 su tutte le installazioni SharePoint, con priorità per i server con elevato numero di utenti contribuenti o con accesso da rete esterna.
- Controllare i log di accesso a liste e librerie che utilizzano campi multilinea per individuare modifiche sospette di contenuti da parte di utenti con privilegi base nei 69 giorni precedenti al 15 luglio 2026.
- Rivedere le policy di contribuzione SharePoint per limitare i permessi di creazione contenuto agli utenti che effettivamente necessitano di campi multilinea, riducendo la superficie di injection.
- Valutare la priorità di CVE-2026-55126 nei processi di patching aziendali indipendentemente dalla classificazione 'Spoofing', calibrando sul punteggio CVSS 8.1 e sulla combinazione
AV:N/AC:L.
Domande frequenti
La patch è obbligatoria anche con 'Exploitation Less Likely'?
Il CVSS 8.1 e la facilità tecnica di sfruttamento rendono la patch prioritaria. L'assessment di esploitabilità si riferisce alla mancanza di exploit pubblici al momento della pubblicazione, non alla resistenza del codice all'analisi inversa.
I campi di testo multilinea sono comuni in SharePoint?
La classe SPFieldMultiLineText è tra i tipi di campo standard più usati in liste personalizzate, document libraries e flussi di lavoro. La sua diffusione rende la vulnerabilità particolarmente rilevante per le installazioni con contenuti collaborativi estesi.
Il requisito di interazione utente rende l'attacco improbabile?
UI:R limita la scalabilità rispetto a un worm autonomo, ma non elimina il rischio. Tattiche di ingegneria sociale mirate contro amministratori di sito SharePoint—obiettivi ad alto valore—possono rendere l'interazione un ostacolo gestibile per attaccanti determinati.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-418/
- http://www.zerodayinitiative.com/advisories/published/
- https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-55126