CISA bije na alarm: SharePoint na celowniku
Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) dodała w środę 1 lipca 2026 roku do swojego katalogu Known Exploited Vulnerabilities (KEV) podatność CVE-2026-45659 — lukę umożliwiającą zdalne wykonanie kodu (RCE) na serwerach Microsoft SharePoint. Oznacza to, że luka jest już aktywnie wykorzystywana przez cyberprzestępców, a wszystkie agencje federalne USA muszą załatać swoje systemy do soboty 5 lipca.
To już 11. podatność SharePointa dodana do katalogu CISA KEV od 2021 roku — z czego 7 było wykorzystywanych w atakach ransomware. SharePoint pozostaje jednym z najczęściej atakowanych produktów Microsoftu w ekosystemie enterprise.
Szczegóły techniczne: CVE-2026-45659
Podatność wynika z błędu typu deserialization of untrusted data (deserializacja niezaufanych danych). W praktyce oznacza to, że atakujący może przesłać specjalnie spreparowany zserializowany obiekt, który podczas deserializacji przez SharePoint prowadzi do wykonania dowolnego kodu na serwerze.
- CVE: CVE-2026-45659
- Typ: Deserialization of Untrusted Data (CWE-502)
- CVSS: 7.2 (High) — według Microsoft MSRC
- Wektor ataku: Sieciowy (AV:N) — podatność możliwa do wykorzystania zdalnie przez internet
- Złożoność ataku: Niska (AC:L) — atakujący nie potrzebuje szczegółowej wiedzy o systemie
- Wymagane uprawnienia: Niskie (PR:L) — wystarczy rola Site Member
- Interakcja użytkownika: Nie wymagana (UI:N)
Jak podkreśla Microsoft: „Każdy uwierzytelniony atakujący może wykorzystać tę podatność. Nie wymaga uprawnień administratora ani innych podwyższonych przywilejów. W ataku sieciowym, uwierzytelniony atakujący posiadający minimalne uprawnienia Site Member może zdalnie wykonać kod na serwerze SharePoint.”
Wersje podatne
- Microsoft SharePoint Enterprise Server 2016
- Microsoft SharePoint Server 2019
- Microsoft SharePoint Server Subscription Edition
Oś czasu: od pominięcia do KEV
Historia tej podatności jest szczególnie niepokojąca ze względu na sposób jej ujawnienia:
- 21 maja 2026 — Microsoft wydaje poprawki zabezpieczające dla SharePoint, ale CVE-2026-45659 zostało przypadkowo pominięte w oficjalnym zestawieniu May 2026 Patch Tuesday. Łatka została wydana poza standardowym cyklem.
- 1 lipca 2026 — CISA dodaje podatność do katalogu KEV, potwierdzając aktywne wykorzystanie w atakach. Agencje federalne otrzymują deadline do 5 lipca na wdrożenie poprawek.
Według danych Shadowserver Foundation, obecnie na świecie jest ponad 10 000 serwerów SharePoint dostępnych publicznie z internetu. Nie wiadomo dokładnie, ile z nich zostało już załatanych.
Co może zrobić atakujący?
Skuteczne wykorzystanie CVE-2026-45659 daje atakującemu możliwość:
- Zdalnego wykonania kodu (RCE) na serwerze SharePoint z uprawnieniami konta usługi
- Kradzieży wrażliwych dokumentów przechowywanych w bibliotekach SharePoint
- Rozprzestrzenienia się w sieci (lateral movement) — serwer SharePoint jako punkt wejścia do dalszych ataków na infrastrukturę
- Wdrożenia ransomware — jak pokazuje historia, 7 z 11 podatności SharePoint w katalogu KEV było wykorzystywanych właśnie w atakach ransomware
- Eksfiltracji danych — dostęp do całej zawartości witryn SharePoint
Jak się chronić?
1. Zainstaluj poprawki NATYCHMIAST
Microsoft opublikował poprawki 21 maja 2026. Jeśli jeszcze tego nie zrobiłeś — to absolutny priorytet. Poprawki są dostępne dla wszystkich podatnych wersji:
- SharePoint Server 2016
- SharePoint Server 2019
- SharePoint Server Subscription Edition
Patch dostępny jest w Microsoft Update Catalog oraz przez Windows Update / WSUS. Link do advisory Microsoft: CVE-2026-45659 — Microsoft Security Response Center
2. Sprawdź ekspozycję z internetu
Jeśli Twój SharePoint jest dostępny z internetu — potraktuj to jako podwyższone ryzyko. Rozważ:
- Ograniczenie dostępu przez VPN / Zero Trust Network Access
- Wdrożenie Web Application Firewall (WAF) z regułami dla SharePoint
- Monitoring logów IIS pod kątem podejrzanych żądań zawierających zserializowane obiekty
3. Zasada najmniejszych uprawnień
Atak wymaga jedynie uprawnień Site Member. Przejrzyj listę użytkowników w swoich witrynach SharePoint i usuń zbędne konta. Każde niepotrzebne konto to potencjalny wektor ataku.
4. Monitoring i detekcja
- Wdróż reguły SIEM wykrywające anomalie w ruchu do serwerów SharePoint
- Monitoruj tworzenie nowych kont z wysokimi uprawnieniami
- Sprawdzaj logi zdarzeń Windows pod kątem nietypowej aktywności procesu w3wp.exe
5. Segmentacja sieci
Serwer SharePoint nie powinien mieć bezpośredniego dostępu do kluczowych zasobów (kontrolery domeny, bazy danych finansowych). Wdrożenie segmentacji ograniczy skutki ewentualnego włamania.
Szerszy kontekst: trudny tydzień dla administratorów Microsoft
To nie jedyne zagrożenie, którym muszą martwić się administratorzy w tym tygodniu. Równolegle trwa kampania FortiBleed — masowa operacja kradzieży credentials z urządzeń Fortinet FortiGate, która objęła ponad 430 000 firewalli na całym świecie. Badacze z SOCRadar powiązali tę kampanię z gangami ransomware INC i Lynx. Skradzione dane VPN są najprawdopodobniej wykorzystywane do dalszych włamań do sieci korporacyjnych — w tym również do serwerów SharePoint znajdujących się za zaporami.
Dodatkowo, Cisco potwierdziło w tym tygodniu aktywne wykorzystanie podatności CVE-2026-20230 w Cisco Unified Communications Manager (WebDialer SSRF prowadzący do RCE). Administratorzy infrastruktury VoIP również powinni pilnie zastosować łatki.
Podsumowanie
CVE-2026-45659 to kolejny dowód na to, że SharePoint jest łakomym kąskiem dla cyberprzestępców. Połączenie niskich wymagań (wystarczy rola Site Member), braku interakcji użytkownika i możliwości ataku przez internet sprawia, że ta podatność jest szczególnie groźna.
Nie czekaj. Łataj dziś.