פרצה קריטית ב-SharePoint מקומי מנוצלת בפועל, ועדכון לבדו לא מספיק
CVE-2026-50522 מאפשרת להריץ קוד על שרת SharePoint מקומי. Microsoft תיקנה אותה ב-14 ביולי, ו-CISA מאשרת ניצול. תוקפים גונבים מפתחות מכונה ושומרים גישה גם אחרי העדכון.
TL;DR בקצרה
- CISA הוסיפה ב-22 ביולי 2026 את CVE-2026-50522, חולשת הרצת קוד ב-SharePoint מקומי עם ציון 9.8, לקטלוג החולשות המנוצלות.
- Microsoft פרסמה תיקון ב-14 ביולי. לפי watchTowr, תוקפים גונבים מפתחות מכונה ושומרים גישה גם אחרי העדכון.
- המקורות חלוקים בשאלה אם התוקף צריך הרשאת Site Owner: ה-FAQ של Microsoft אומר שכן, וקטור ה-CVSS ו-BleepingComputer אומרים שלא.
- ההמלצה: לעדכן, לחפש עקבות, להחליף מפתחות מכונה ולהפעיל מחדש את IIS בכל השרתים.
CISA הוסיפה ב-22 ביולי 2026 את CVE-2026-50522, פרצה קריטית ב-SharePoint מקומי, לקטלוג החולשות שמנוצלות בפועל. החולשה מאפשרת להריץ קוד על השרת דרך הרשת. Microsoft פרסמה לה תיקון ב-14 ביולי. אבל תוקפים שגנבו את מפתחות המכונה של השרת יכולים לשמור גישה גם אחרי העדכון.
מפתחות המכונה, machine keys, הם המפתחות שבעזרתם השרת מאמת אסימוני כניסה. מי שמחזיק בהם יכול לזייף אסימון ולהתחזות למשתמש. לכן החוקרים ממליצים לעדכן, ואחר כך גם להחליף את המפתחות.
מה עושה CVE-2026-50522 ומתי התחיל הניצול
לפי רשומת Microsoft, זו חולשת deserialization, כלומר פענוח של נתונים לא מהימנים. היא קיבלה ציון חומרה 9.8 מתוך 10. בעת הפרסום Microsoft סימנה אותה כחולשה שסבירות הניצול שלה גבוהה. היא לא ידעה אז על ניצול.
ב-17 ביולי דיווחה Defused על ניסיונות ניצול אפשריים. ב-20 ביולי זיהתה watchTowr קוד ניצול ציבורי. תוך שעות רשמו מלכודות הדבש שלה ניסיונות ניצול שהצליחו. באותו יום פרסם חוקר סקריפט PowerShell ב-GitHub.
הסקריפט מעביר מטען זדוני של .NET BinaryFormatter בתוך עוגייה, כחלק מתגובת כניסה מזויפת מסוג WS-Federation. הוא פונה לכתובת /_trust/default.aspx של SharePoint. BleepingComputer לא בדקה אותו. גם לא ברור אם התקיפות שנצפו השתמשו בו.
ההשלכה חמורה. תוקף שגונב את מפתחות המכונה מזייף אסימוני כניסה. כך הוא נכנס לאתרים ולמסמכים בהרשאות של משתמשים אחרים. לפי watchTowr, הגישה הזו נשארת גם אחרי התיקון. היא אמרה ל-Cybersecurity Dive שההשפעה ברמה של ToolShell, הקמפיין של 2025 שפגע במאות לקוחות SharePoint.
מי חשוף והאם התוקף צריך הרשאות
הדיווחים עוסקים בשרתי SharePoint מקומיים. בהודעת Microsoft מופיעות במפורש הגרסאות SharePoint Server 2016 ו-SharePoint Enterprise Server 2016. מי שמריץ גרסה מקומית אחרת צריך לבדוק ב-MSRC איזה עדכון חל עליה. לפי ספירה של Censys, כ-1,500 שרתי SharePoint שארגונים מתחזקים בעצמם פונים לאינטרנט, רובם בגרסת 2019.
המקורות חלוקים בשאלה אילו הרשאות דרושות לתוקף. ב-FAQ של Microsoft כתוב שדרושה לפחות הרשאת Site Owner. אבל וקטור ה-CVSS של Microsoft מדרג את הפרצה כך שאין צורך בהרשאות. גם BleepingComputer מתארת תקיפה בלי הזדהות.
לכן אל תסתמכו על דרישת ההרשאה כעל הגנה. שרת חשוף הוא שרת פגיע עד שהתקנתם את העדכון.
מה זה אומר עבורכם
- עדכנו: התקינו את עדכון האבטחה של SharePoint מ-14 ביולי 2026 לגרסה שלכם. לפי Microsoft, העדכון סוגר את הפרצה עצמה.
- חפשו עקבות לפני שמחליפים מפתחות: CISA ממליצה לאתר ולסלק ממצאי פריצה לפני החלפת מפתחות המכונה.
- החליפו את מפתחות המכונה: הנחיות Microsoft מ-2025 לפרצות קודמות ב-SharePoint מציעות שתי דרכים. אפשר להריץ את Machine Key Rotation Job ב-Central Administration, או את Set-SPMachineKey. אחר כך הריצו iisreset.exe בכל שרתי SharePoint.
- בדקו את AMSI: ודאו ש-AMSI פעיל בכל web application ב-SharePoint, ועקבו אחרי ההתרעות שלו.
- החליפו אישורי גישה: לפי watchTowr, עדכון לא מספיק. החליפו אישורי גישה בכל נכס שהתוקף עלול היה להגיע אליו.
- הרחיקו שרת חשוף: עד העדכון, נתקו את השרת מהאינטרנט או הציבו לפניו VPN עם הזדהות. זו ההמלצה ש-Microsoft פרסמה ב-2025.
מה הלאה אחרי CVE-2026-50522
CISA לא יכולה לאשר אם הפרצה שימשה בתקיפות ransomware. עם זאת, CISA קבעה לסוכנויות פדרליות אזרחיות בארה״ב לטפל בה עד ה-25 ביולי. מי שעדכן אבל לא החליף מפתחות עלול להישאר חשוף.
עדיין לא ידוע אם התקיפות שנצפו השתמשו בסקריפט הציבורי או בשיטה אחרת. לכן כדאי לעקוב אחרי הודעות Microsoft ו-CISA.
מקורות והרחבה
- CVE-2026-50522: Microsoft SharePoint Remote Code Execution VulnerabilityMicrosoft
- Critical SharePoint RCE flaw exploited to steal machine keysBleepingComputer
- Another SharePoint RCE exploited: Patch, then rotate your machine keys (CVE-2026-50522)Help Net Security
- Microsoft SharePoint under attack via new exploitCybersecurity Dive
- Disrupting active exploitation of on-premises SharePoint vulnerabilitiesMicrosoft Security Blog
- CISA Known Exploited Vulnerabilities CatalogCISA
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
