Con la scoperta di una grave vulnerabilità nel sistema di autenticazione S2S di Microsoft SharePoint, identificata come CVE-2026-55040 con un punteggio CVSS di 9.1, è stato reso noto che l'exploitation attiva è iniziata pochi giorni dopo la pubblicazione di un proof-of-concept. La falla, che permette il bypass completo dell'autenticazione tramite un token JWT forgiato, è stata sfruttata in almeno 12 tentativi rilevati da 8 IP unici distribuiti in 5 nazioni, con un picco concentrato il 12 e 13 agosto 2026.
Il dato che impone una riflessione va oltre la singola CVE: l'intervallo tra la pubblicazione del PoC da parte di Rapid7 e i primi attacchi osservati si misura in ore, non in settimane. Questa compressione temporale ridefinisce il parametro di rischio per le organizzazioni che ancora operano con deployment on-premises non aggiornati.
- CVE-2026-55040 è una vulnerabilità di bypass dell'autenticazione S2S in SharePoint on-premises, con CVSS 9.1 secondo il National Vulnerability Database.
- Rapid7 ha pubblicato analisi tecnica dettagliata con decompilazione del codice e PoC Python il 10 agosto 2026; entro due giorni sono stati rilevati 8 tentativi di exploitation.
- La catena di attacco sfrutta 4 weakness concatenate nel parsing JWT: header alg:none, risoluzione chiave tramite thumbprint esposto, accettazione issuer non trusted, e signature placeholder non validata.
- L'accoppiamento con CVE-2026-63520, patchata nell'agosto 2026, espone a remote code execution unauthenticated, secondo quanto segnalato da NHS England Digital.
Il meccanismo tecnico: quattro errori che catenano un bypass totale
L'analisi condotta da Stephen Fewer per Rapid7 ha identificato il problema nelle classi SPJsonWebSecurityTokenHandlerV2 e SPJsonWebSecurityBaseTokenHandlerV2, componenti del framework di identità SharePoint responsabili della validazione dei token Bearer in scenari server-to-server. Fewer ha decompilato il codice in Microsoft.SharePoint.IdentityModel.dll, isolando una sequenza di quattro weakness che trasformano una singola falla di implementazione in un bypass autenticativo completo.
Il primo anello della catena risiede nell'header JWT alg:none, che disabilita il requisito di firma digitale sul token esterno. Il secondo passaggio sfrutta l'header x5t per puntare al thumbprint di un certificato STS di SharePoint, recuperabile da un endpoint non autenticato. Terzo: il certificato risolto non risiede nel registro TrustedSecurityTokenServices, ma il server lo accetta comunque. Quarto: il campo signature contiene un placeholder non vuoto che non viene mai sottoposto a validazione effettiva. Il risultato, come documentato da Rapid7, è un token accettato come legittimo per qualunque identità SharePoint, inclusa quella di amministratore del sito.
Il PoC pubblicato da Rapid7 automatizza l'intero flusso: genera un JWT forgiato, interroga il domain controller per enumerare utenti per SID, e localizza automaticamente il SID dell'amministratore del sito target. Questo livello di dettaglio tecnico, reso pubblico il 10 agosto, ha fornito agli attaccanti uno schema riproducibile senza necessità di reverse engineering indipendente.
Dal PoC all'exploitation: la cronologia di 72 ore
I dati raccolti da KEVIntel, citati da The Hacker News, tracciano una timeline che non ammette equivoci. I primi 12 tentativi di exploitation sono stati registrati a partire dal 19 luglio 2026, ma la distribuzione temporale rivela un'accelerazione netta: 8 dei 12 tentativi si sono concentrati il 12 e 13 agosto, immediatamente successivi alla pubblicazione del PoC Rapid7. Gli IP di origine, 8 in totale, sono stati geolocalizzati in Hong Kong, Giappone, Paesi Bassi, Taiwan e Stati Uniti.
Defused Cyber ha confermato l'esistenza di exploitation attiva rilevando attacchi che utilizzavano esplicitamente il PoC Rapid7 contro honeypot SharePoint configurati per il monitoraggio. La conferma incrociata tra intelligence commerciale e rilevamento su sensori conferma che la weaponization è avvenuta in un arco di tempo estremamente compresso.
Va sottolineato un limite nei dati disponibili: le fonti documentano tentativi di exploitation, non successi di compromissione confermati. Il numero esatto di sistemi effettivamente violati non è determinabile dal dossier attuale. Analogamente, non emergono sovrapposizioni infrastrutturali che colleghino gli operatori rilevati a un threat actor specifico o a un movente identificabile.
Il perimetro di impatto: on-premises, non cloud
La vulnerabilità colpisce esclusivamente le installazioni on-premises di SharePoint Server: la Subscription Edition, la versione 2019 e l'Enterprise Server 2016. SharePoint Online non è interessato, secondo quanto specificato da CyberSecurityNews. Questa distinzione è rilevante perché concentra il rischio su un parco installazioni che conserva tipicamente cicli di patching più lunghi rispetto alle infrastrutture cloud gestite da Microsoft.
La natura on-premises del target introduce una variabile di rischio ulteriore: la visibilità di questi sistemi da parte di attori esterni dipende dalla esposizione su internet dei server SharePoint, spesso legata a configurazioni di reverse proxy o VPN incomplete. CVE-2026-55040 è la quinta vulnerabilità SharePoint sfruttata nel 2026, a conferma di un pattern sistemico di attenzione offensiva verso la piattaforma.
La combinazione con CVE-2026-63520, patchata nell'agosto 2026, amplifica la posta in gioco. Secondo NHS England Digital, l'accoppiamento delle due falle permette remote code execution senza autenticazione. Questa catena RCE rappresenta lo scenario di rischio massimo per le organizzazioni che non abbiano applicato entrambe le correzioni.
"A remote unauthenticated attacker can leverage CVE-2026-55040 to bypass authentication on a vulnerable SharePoint server, and perform operations as a SharePoint site user or administrator." — Stephen Fewer, Rapid7
Cosa fare adesso
Le azioni prioritarie derivano direttamente dalle indicazioni documentate nelle fonti primarie e nell'advisory CISA. L'applicazione della patch rilasciata da Microsoft nel luglio 2026 Patch Tuesday è la misura correttiva fondamentale per CVE-2026-55040; per le organizzazioni che operano con cicli di change management estesi, la disponibilità della correzione per CVE-2026-63520 nell'agosto 2026 impone una valutazione coordinata per chiudere entrambe le superfici di attacco.
L'analisi di Rapid7 suggerisce di verificare specificamente la presenza delle classi vulnerabili nelle installazioni SharePoint on-premises e di controllare la configurazione del token validation pipeline per JWT S2S. CISA, nel suo advisory di hardening SharePoint, ha indicato l'attivazione di AMSI detections come misura di rilevamento complementare, sebbene questo strumento non costituisca mitigazione sostitutiva rispetto al patching.
La gestione dell'esposizione perimetrale dei server SharePoint richiede una verifica dei flussi di accesso non autenticato agli endpoint che espongono thumbprint STS o altri metadati di configurazione dell'identità. Infine, l'adozione di una finestra di patching compressa — orientativamente inferiore alle 72 ore per vulnerabilità critiche con PoC pubblico — appare coerente con la velocità di weaponization documentata in questo caso.
La compressione del tempo come nuova variabile di rischio
Il caso CVE-2026-55040 offre una misura empirica di un fenomeno già ipotizzato: l'intervallo tra disclosure tecnica e exploitation attiva si è ridotto a un arco incompatibile con i cicli tradizionali di gestione delle patch. Se il ritardo medio di patching enterprise si colloca oltre i 30 giorni, la weaponization in ore-giorni genera una finestra di esposizione effettiva che non può essere colmata con processi standard.
La capacità di generare PoC funzionanti da analisi di decompilazione, come dimostrato da Rapid7, riflette un livello di maturità nella ricerca offensiva che accelera ulteriormente la catena di diffusione. Per le organizzazioni con SharePoint on-premises, la domanda non è più se applicare la patch, ma se il processo di change management è strutturato per operare in un arco inferiore alla settimana senza compromettere la stabilità operativa.
Il dato che resta da determinare è il passaggio da tentativi a compromissioni effettive: fino a quando non emergono conferme di sistemi violati con impatti misurabili, la valutazione del rischio rimane condizionata dalla probabilità piuttosto che dalla certezza. Ma la probabilità, in questo caso, è già sufficientemente alta per rendere l'inazione una scelta quantificabile.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://thehackernews.com/2026/08/attackers-exploit-sharepoint.html
- https://cybersecuritynews.com/microsoft-sharepoint-vulnerability-exploited-2/
- https://www.network-security-magazine.com/network-security/top-network-security-news/attackers-exploit-sharepoint-authentication-bypass-after-public-poc-release/
- https://thomasharris6.wordpress.com/2026/08/13/attackers-exploit-sharepoint-authentication-bypass-after-public-poc-release/
- https://www.helpnetsecurity.com/2026/08/13/microsoft-sharepoint-cve-2026-55040-poc-exploit/
- https://www.rapid7.com/blog/post/ra-microsoft-sharepoint-jwt-token-authentication-bypass-cve-2026-55040/
- https://petri.com/sharepoint-authentication-flaw-attacks/
- https://www.helpnetsecurity.com/2026/07/15/microsoft-patch-tuesday-sharepoint-cve-2026-56164/
- https://www.helpnetsecurity.com/2026/08/07/swiss-government-microsoft-sharepoint-vulnerabilities/
- https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-urges-sharepoint-hardening-after-new-exploitations