CISA conferma exploitation ransomware di SharePoint, Microsoft tace

L'11 agosto 2026 la CISA ha confermato che gruppi ransomware stanno attivamente sfruttando la vulnerabilità CVE-2026-45659 in Microsoft SharePoint on-premises. La dichiarazione arriva oltre un mese dopo l'inserimento nel catalogo KEV, ma Microsoft non ha ancora aggiornato la propria advisory per riflettere lo stato di exploitation attiva. Il silenzio del vendor lascia le organizzazioni senza un segnale unificato sul rischio effettivo.

Il meccanismo: deserializzazione di dati non attendibili con privilegi minimi

CVE-2026-45659 deriva da una weakness di deserializzazione di dati non attendibili nella gestione dei dati di Microsoft SharePoint. Secondo il record NVD, il vettore d'attacco è di tipo rete (AV:N), la complessità d'attacco è bassa (AC:L) e l'autenticazione richiede soltanto privilegi limitati (PR:L). La falla non richiede interazione utente (UI:N) e ha impatto completo su riservatezza, integrità e disponibilità (C:H/I:H/A:H).

Questa combinazione significa che un attaccante con accesso autenticato di livello basso può eseguire codice arbitrario sul server target senza prerequisiti tecnici complessi. La natura automatizzabile dell'exploitation, tipica delle vulnerabilità di deserializzazione in applicazioni enterprise, abbassa la barriera all'adozione da parte di attori threat con tooling ransomware già collaudato.

Il gap di disclosure: CISA dice "ransomware", Microsoft non conferma

Il punto critico non è tecnico ma procedurale. La CISA ha pubblicamente attribuito CVE-2026-45659 a campagne ransomware l'11 agosto 2026. Microsoft, che aveva rilasciato le patch di sicurezza a maggio 2026 per le tre versioni on-premises interessate, non ha successivamente aggiornato la propria advisory per segnalare lo stato di exploitation attiva.

Questa disallineamento crea un problema operativo per i team di sicurezza che monitorano i vendor advisory come fonte primaria di prioritizzazione. Quando l'agenzia governativa classifica una falla come KEV con exploitation ransomware confermata mentre il vendor mantiene un profilo basso, le organizzazioni devono integrare fonti multiple per una valutazione del rischio accurata. Il dossier non specifica le ragioni di questo ritardo nella disclosure coordinata.

L'indicatore numerico: oltre 200 server esposti e non patchati

"Shadowserver currently tracks over 8,500 Microsoft SharePoint servers exposed online, with over 200 of them unpatched against the CVE-2026-45659 vulnerability"

I dati Shadowserver forniscono una misura concreta del rischio residuo. Su oltre 8.500 server SharePoint con esposizione internet, oltre 200 risultano vulnerabili a CVE-2026-45659 nel momento della rilevazione. Questi sistemi rappresentano target immediati per gli operatori ransomware attivi, con una finestra di esposizione che si allarga dal rilascio della patch di maggio alla potenziale applicazione correttiva.

Il dato assume rilevanza in un contesto storico preciso. Secondo quanto riportato da BleepingComputer con dati CISA, dal novembre 2021 l'agenzia ha flaggato 14 vulnerabilità SharePoint come attivamente sfruttate, e 8 di queste — oltre la metà — sono state impiegate anche in attacchi ransomware. Il pattern è consolidato: SharePoint on-premises è un vettore ricorrente per la compromissione iniziale di infrastrutture aziendali.

Cosa fare adesso

• Applicare immediatamente le patch rilasciate da Microsoft a maggio 2026 per SharePoint Enterprise Server 2016, SharePoint Server 2019 e SharePoint Server Subscription Edition [FONTE 1]
• Integrare AMSI nelle web application SharePoint e verificare la configurazione di Microsoft Defender Antivirus per il rilevamento e la remediation, come raccomandato dalla CISA [FONTE 1, FONTE 3]
• Verificare che il processo di threat intelligence non dipenda esclusivamente dai vendor advisory, dato il ritardo documentato nel tag di exploitation per questa specifica vulnerabilità
• Controllare l'esposizione internet dei server SharePoint on-premises e ridurre la superficie d'attacco dove l'accesso pubblico non è strettamente necessario

La lettura: quando il vendor advisory non basta più

Il caso CVE-2026-45659 solleva una questione strutturale sulla governance delle vulnerabilità enterprise. Le organizzazioni hanno costruito workflow di patch management basati sui segnali ufficiali dei vendor: severità CVSS, disponibilità di aggiornamenti, indicatori di exploitation. Quando il segnale governativo e quello commerciale divergono sulla stessa falla, il workflow fallisce se non è progettato per integrare fonti esterne alla supply chain tradizionale.

La CISA ha imposto alle agenzie federali una deadline di tre giorni tra il 1° e il 4° luglio 2026. Le altre organizzazioni non hanno vincoli analoghi, ma il ritardo di Microsoft nel riconoscere pubblicamente lo stato di exploitation ha probabilmente rallentato la risposta di una porzione significativa del parco installato. L'effetto è una distribuzione temporale del rischio: i primi ad agire erano quelli con visibilità CISA, gli ultimi quelli che attendevano il segnale dal vendor. La fonte non specifica quanti server siano stati compromessi in questa finestra intermedia, ma la struttura stessa del disallineamento è un dato rilevante per chi progetta programmi di gestione delle vulnerabilità.

Fonti

• https://www.bleepingcomputer.com/news/security/cisa-microsoft-sharepoint-flaw-now-exploited-in-ransomware-attacks/
• https://www.rapid7.com/blog/post/ra-microsoft-sharepoint-jwt-token-authentication-bypass-cve-2026-55040
• https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-urges-sharepoint-hardening-after-new-exploitations
• https://www.cybersecuritydive.com/news/microsoft-sharepoint-attack-new-exploit/825797/
• https://thehackernews.com/2026/03/cisa-warns-of-zimbra-sharepoint-flaw.html
• https://nvd.nist.gov/vuln/detail/CVE-2026-45659
• https://www.cve.org/CVERecord?id=CVE-2026-32201
• https://nvd.nist.gov/vuln/detail/CVE-2026-50522
• https://nvd.nist.gov/vuln/detail/CVE-2026-32201
• https://nvd.nist.gov/vuln/detail/CVE-2026-56164