Nel Patch Tuesday di luglio 2026 Microsoft ha corretto una falla critica di bypass dell'autenticazione in SharePoint Server. Un mese dopo, con un exploit pubblico disponibile, è diventata una delle vulnerabilità più attaccate del semestre.

Cosa permette la falla

La CVE-2026-55040 ha ricevuto un punteggio CVSS 9.1 e nasce da una catena di quattro debolezze nella validazione dei token JWT. Un attaccante remoto e non autenticato riesce a contraffare un token valido e ad assumere l'identità di qualsiasi utente del sito, amministratore incluso. L'unico prerequisito è sapere in anticipo quale utente vuole impersonare.

Secondo l'avviso di Microsoft, uno sfruttamento riuscito consente la divulgazione di file e la modifica dei dati sull'intera farm SharePoint. Concatenata con la CVE-2026-63520, la falla apre la strada all'esecuzione di codice remoto senza alcuna autenticazione.

Perché è diventata urgente

L'11 agosto 2026 Rapid7 ha pubblicato l'analisi tecnica e uno script proof-of-concept. Gli attacchi contro server non aggiornati sono iniziati nel giro di poche ore. Il 18 agosto la CISA ha inserito la falla nel catalogo KEV, il che in pratica significa sfruttamento confermato in ambienti reali.

Sono interessati SharePoint Enterprise Server 2016, SharePoint Server 2019 e Subscription Edition.

Cosa fare adesso

• Applicare il pacchetto cumulativo di luglio 2026 su tutti i server SharePoint.

• Rilevare quali istanze sono raggiungibili da internet e togliere dal perimetro ciò che non deve essere esposto.

• Ruotare chiavi macchina e credenziali di servizio dopo la correzione: la patch chiude la porta, ma non invalida i token già contraffatti.

• Cercare segnali di impersonificazione: autenticazioni senza un evento di logon corrispondente, accessi amministrativi fuori orario, raccolta massiva dalle librerie di documenti.

• Rivedere gli account con privilegi elevati creati o modificati da luglio.