תוקפים מנצלים חולשה קריטית ב-SharePoint Server, יממה אחרי שהקוד לניצולה פורסם
CVE-2026-55040 מאפשרת לתוקף בלי סיסמה להתחזות לכל משתמש ב-SharePoint Server, כולל מנהלים. Rapid7 פרסמה ניתוח וקוד הדגמה ב-11 באוגוסט, ותוך שעות הופיעו ניסיונות ניצול. התיקון זמין מיולי.
TL;DR בקצרה
- CVE-2026-55040 היא עקיפת הזדהות בציון 9.1 בשרתי SharePoint מקומיים. Microsoft תיקנה אותה ב-14 ביולי.
- Rapid7 פרסמה ניתוח טכני ב-11 באוגוסט, ולפי Security Affairs גם קוד הוכחת היתכנות.
- Defused זיהתה שימוש בקוד של Rapid7 נגד מלכודות דבש. KEVIntel רשמה 8 ניסיונות ב-12 וב-13 באוגוסט.
- בשילוב חולשה שנייה, שתוקנה באוגוסט, התוקף יכול להגיע להרצת קוד על השרת.
תוקפים החלו לנצל חולשה קריטית ב-SharePoint Server, פלטפורמת המסמכים והאינטראנט של Microsoft. החולשה, CVE-2026-55040, מאפשרת לתוקף בלי סיסמה להתחזות לכל משתמש באתר, כולל המנהל. Microsoft סגרה אותה כבר ביולי. אבל ב-11 באוגוסט פרסמה חברת Rapid7 ניתוח טכני מלא, ותוך שעות הופיעו ניסיונות ניצול.
מה מאפשרת החולשה ב-SharePoint Server
החולשה יושבת במנגנון שבודק אסימוני JWT, מעין כרטיס כניסה דיגיטלי ש-SharePoint מנפיק ומאמת. לפי Rapid7, כמה פגמים במנגנון הזה מאפשרים לזייף אסימון תקף. התוקף צריך לדעת רק מזהה של משתמש קיים, למשל SID ב-Active Directory. את המזהים האלה אפשר לרוב לגלות בסריקה.
עם אסימון מזויף, התוקף פועל באתר בשם המשתמש שבחר. הוא יכול לקרוא קבצים ולשנות נתונים בכל חוות השרתים. לפי Microsoft, הוא לא יכול לפגוע בזמינות של השירות. Microsoft דירגה את החולשה תחילה כבינונית, ואחר כך העלתה אותה לקריטית, בציון 9.1 מתוך 10.
החולשה היא החוליה הראשונה בשרשרת ש-Rapid7 הציגה בתחרות הפריצה Pwn2Own בברלין. לפי Help Net Security, החוליה השנייה היא CVE-2026-63520, ש-Microsoft סגרה בעדכון של 11 באוגוסט. יחד הן מאפשרות להריץ קוד על השרת בלי הזדהות. לפי Rapid7, עדכון יולי לבדו כבר מספיק כדי לפרק את השרשרת.
למה התחזות למנהל ב-SharePoint Server מסוכנת
בארגונים רבים, SharePoint הוא המקום שבו יושבים המסמכים הרגישים. חוזים, מצגות הנהלה, קובצי משאבי אנוש ונהלים פנימיים. מי שמתחזה למנהל אתר רואה את כל אלה. הוא יכול גם לשנות הרשאות, להוסיף משתמשים ולהעלות מסמכים בשם עובדים אחרים.
מה שהופך את החולשה למסוכנת במיוחד הוא שאין כאן צורך בפישינג או בסיסמה גנובה. אף עובד לא צריך לטעות. מספיק ששרת לא מעודכן פתוח לרשת, ושהתוקף מצא מזהה של משתמש אחד.
מהפרסום לתקיפה בתוך שעות
Rapid7 פרסמה את הפרטים הטכניים ב-11 באוגוסט. לפי Security Affairs, היא העלתה גם קוד הוכחת היתכנות (PoC) ל-GitHub. הקוד מזייף אסימון, סורק את המשתמשים ומאתר מנהל אתר. לפי Rapid7, Microsoft ביקשה ממנה לחכות 30 יום לפני פרסום הקוד.
חברת Defused דיווחה שתוקפים משתמשים בקוד של Rapid7 נגד שרתי SharePoint שהציבה כמלכודת דבש. לפי KEVIntel, שהאתר The Hacker News מצטט, היו 12 ניסיונות ניצול מאז 19 ביולי. שמונה מהם התרחשו ב-12 וב-13 באוגוסט, משמונה כתובות IP. הכתובות הגיעו מהונג קונג, יפן, הולנד, טייוואן וארה״ב. זהות התוקפים והמטרות שלהם לא ידועות.
מה זה אומר עבורכם
- עדכנו את SharePoint Server: התקינו את עדכון יולי 2026. ב-Subscription Edition זה KB5002882, ב-2019 זה KB5002883, וב-2016 זה KB5002891.
- בדקו את הגרסה: במסוף Central Administration, בדף השרתים בחווה, מופיעה גרסת החווה. ב-Subscription Edition, גרסה 16.0.19725.20434 ומעלה כוללת את התיקון.
- אל תעצרו ביולי: התקינו גם את עדכון אוגוסט, שסוגר את החוליה השנייה בשרשרת.
- צמצמו חשיפה: שרת SharePoint מקומי לא צריך להיות פתוח לכל האינטרנט. העבירו את הגישה אליו דרך VPN או שער מאובטח.
- חפשו סימנים: עברו על יומני הגישה מאמצע יולי. חפשו פעולות של מנהלים בשעות חריגות או מכתובות IP לא מוכרות.
מה הלאה ל-SharePoint Server
זה דפוס מוכר: מרגע שקוד ניצול יוצא לציבור, החלון לעדכון מתקצר לשעות. ארגון שדחה את עדכון יולי חשוף עכשיו לכל מי שמוריד את הקוד מ-GitHub.
מה קרה מאז: ב-18 באוגוסט הוסיפה CISA את CVE-2026-55040 לקטלוג החולשות המנוצלות. CISA היא הסוכנות האמריקאית להגנת סייבר.
מקורות והרחבה
- CVE-2026-55040: Microsoft SharePoint JWT Token Authentication Bypass (FIXED)Rapid7
- SharePoint CVE-2026-55040 Comes Under Attack Following Public ExploitSecurity Affairs
- Microsoft patches 400+ vulnerabilities, one zero-day under attack (CVE-2026-68820)Help Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
