CVE-2026-55040: exploit attivo per SharePoint entro 48 ore dal PoC

Gli attaccanti hanno iniziato a sfruttare CVE-2026-55040, critica vulnerabilità di autenticazione in Microsoft SharePoint Server, entro 48 ore dalla pubblicazione del proof-of-concept da parte di Rapid7 l'11 agosto 2026. Il Cybersecurity and Infrastructure Security Agency ha confermato lo sfruttamento in-the-wild inserendo la falla nel catalogo KEV il 18 agosto 2026, attivando per le agenzie federali statunitensi i termini di remediation della direttiva BOD 26-04.

Come funziona la catena di bypass JWT in SharePoint

La vulnerabilità risiede in quattro difetti concatenati nella pipeline di validazione dei token JWT di SharePoint Server Subscription Edition. Secondo l'analisi originale di Rapid7, il primo anello è l'accettazione di un header JWT con valore alg:none, che disabilita la verifica della firma. Il secondo è la risoluzione della chiave di firma tramite il thumbprint del certificato STS interno di SharePoint, senza validazione effettiva. Il terzo è il superamento del controllo di non-vuoto su una firma segnaposto che non viene mai verificata. Il quarto è l'impersonificazione di qualsiasi utente del sito.

Microsoft conferma che lo sfruttamento potrebbe consentire la divulgazione di file e la modifica dei dati, ma non impatta la disponibilità del sistema. La fonte non specifica quali tipologie di dati siano effettivamente a rischio né se lo sfruttamento abbia comportato accesso a informazioni sensibili in ambienti di produzione. Il punteggio CVSS 9.1 riflette la gravità del bypass, che non richiede credenziali né interazione utente.

Dalla patch all'exploitation: la timeline si accorcia

Microsoft ha rilasciato la patch il 14 luglio 2026 durante il Patch Tuesday. Rapid7 ha pubblicato dettagli tecnici e PoC il 11 agosto, dopo un periodo di disclosure coordinata. I dati sulla timeline degli attacchi provengono da una singola fonte strutturata, Rapid7, integrata da osservazioni di honeypot riportate da SecurityAffairs.

Secondo SecurityAffairs, che cita dati KEVIntel, si contano 12 tentativi di sfruttamento dal 19 luglio 2026. Di questi, 8 si sono concentrati il 12-13 agosto, immediatamente dopo la pubblicazione del PoC. Gli indirizzi IP coinvolti — 8 in totale — si distribuiscono tra Hong Kong, Giappone, Paesi Bassi, Taiwan e Stati Uniti. I ricercatori di Defused hanno osservato attaccanti utilizzare il PoC di Rapid7 direttamente contro i loro honeypot SharePoint. Nessuna fonte nel dossier documenta compromissioni riuscite al di là delle osservazioni su honeypot, né attribuisce gli attacchi a gruppi specifici.

"A critical authentication bypass vulnerability exists in SharePoint Server Subscription Edition's JWT token validation pipeline. The root cause is a chain of four distinct weaknesses that, when combined, allow an unauthenticated remote attacker to forge a valid JWT and impersonate any SharePoint site user." — Rapid7, Stephen Fewer

La discrepanza temporale tra Microsoft e CISA

Microsoft MSRC, nel suo advisory ufficiale per CVE-2026-55040, elencava al momento della pubblicazione lo stato "Exploited: No". Il CISA ha aggiunto la stessa vulnerabilità al catalogo KEV il 18 agosto 2026, con un criterio che richiede evidenza di exploitation in-the-wild. Rapid7 ha annotato nel proprio blog l'aggiornamento conseguente all'inserimento KEV. Questa incongruenza — risolta dall'aggiornamento CISA ma non ancora riflessa nell'advisory Microsoft al momento della pubblicazione — non altera la gravità della minaccia, ma mostra come la velocità degli attaccanti possa superare quella dei sistemi di classificazione ufficiali.

Cosa fare adesso

• Applicare le patch KB5002882 (Subscription Edition, build 16.0.19725.20434), KB5002883 (2019, build 16.0.10417.20175) o KB5002891 (2016, build 16.0.5561.1001), disponibili dal 14 luglio 2026, a tutte le istanze SharePoint Server on-premises esposte alla rete.
• Verificare che le istanze SharePoint Server non siano raggiungibili da internet senza controlli di accesso aggiuntivi, data la natura remota e non autenticata della vulnerabilità.
• Per le organizzazioni federali statunitensi: conformarsi ai termini di remediation della direttiva CISA BOD 26-04, attivata dall'inserimento nel catalogo KEV.

Analisi DeafNews: il limite della disclosure coordinata

Il caso CVE-2026-55040 solleva questioni sulla pratica della divulgazione coordinata. La sequenza standard — scoperta privata, patch, disclosure pubblica con ritardo protettivo — si scontra qui con un dato: gli attaccanti hanno replicato la catena di exploit in tempi molto brevi dopo la pubblicazione del PoC. La distanza tra teoria e exploit attivo si misura ormai in giorni, non in settimane.

Questo non implica che la disclosure coordinata abbia fallito nel caso specifico: la patch era disponibile dal 14 luglio, quasi un mese prima del PoC. L'elemento rilevante è invece la velocità con cui gli attaccanti hanno adattato il codice pubblico contro sistemi non aggiornati. La fonte non specifica se gli 8 tentativi post-PoC rappresentino attività di ricognizione o tentativi di compromissione mirata.

Restano inoltre non verificati: l'identità degli operatori dietro gli 8 indirizzi IP, l'eventuale accesso a dati sensibili in ambienti di produzione, e lo stato della vulnerabilità RCE separata che Rapid7 ha concatenato al bypass JWT per ottenere esecuzione remota non autenticata.

Fonti: Rapid7 | SecurityAffairs | Microsoft MSRC | CISA | Microsoft KB5002882 | Microsoft KB5002883 | Microsoft KB5002891

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://www.rapid7.com/blog/post/ve-cve-2026-55040-microsoft-sharepoint-jwt-token-authentication-bypass-fixed/
• https://securityaffairs.com/197137/hacking/sharepoint-cve-2026-55040-comes-under-attack-following-public-exploit.html
• https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-55040
• https://www.cisa.gov/news-events/alerts/2026/08/18/cisa-adds-four-known-exploited-vulnerabilities-catalog
• https://support.microsoft.com/en-us/servicing/office/update/2026/5002882
• https://support.microsoft.com/en-us/servicing/office/update/2026/5002883
• https://support.microsoft.com/en-us/servicing/office/update/2026/5002891
• https://www.helpnetsecurity.com/2026/08/13/microsoft-sharepoint-cve-2026-55040-poc-exploit/
• https://petri.com/sharepoint-authentication-flaw-attacks/