CISA cảnh báo ba lỗ hổng SharePoint Server đang bị khai thác tích cực
"CISA warned organizations running supported on-prem SharePoint Server versions about three actively exploited vulnerabilities: CVE-2026-32201 (spoofing), CVE-2026-45659 (remote code execution), and CVE-2026-56164 (privilege escalation). It also highlighted two additional critical flaws, CVE-2026-55040 and CVE-2026-58644, and recommended applying Microsoft patches, enabling AMSI, hunting for intrusion signs, rotating IIS keys carefully, and restricting access to SharePoint Central Administration."
Rủi ro cao do RCE và leo thang đặc quyền đang bị khai thác, kèm khả năng đánh cắp IIS machine keys để duy trì truy cập.
Có thể gây gián đoạn và tổn thất dữ liệu do xâm nhập vào hệ thống cộng tác nội bộ; mức độ ảnh hưởng phụ thuộc vào việc triển khai bản vá và kiểm soát truy cập quản trị.
CISA (Mỹ) kêu gọi các tổ chức đang vận hành SharePoint Server on-prem ở các phiên bản được hỗ trợ tăng cường phòng thủ sau khi công bố thông tin về nhiều lỗ hổng đang bị khai thác. Theo cảnh báo, có 3 lỗ hổng được ưu tiên theo dõi vì đang có hoạt động tấn công thực tế: CVE-2026-32201 (lỗ hổng giả mạo), CVE-2026-45659 (RCE từ xa) và CVE-2026-56164 (leo thang đặc quyền). CISA cũng nêu thêm 2 lỗ hổng mức độ nghiêm trọng khác từ Patch Tuesday gần nhất là CVE-2026-55040 và CVE-2026-58644; hiện chưa thấy khai thác chủ động, nhưng Microsoft gắn nhãn “Exploitation More Likely”.
CISA cho biết chuỗi tấn công liên quan đến giai đoạn sau xâm nhập, bao gồm đánh cắp IIS machine keys và kỹ thuật deserialization nhằm duy trì truy cập và triển khai mã độc. Cơ quan này khuyến nghị áp dụng bản vá bảo mật của Microsoft, kiểm tra AMSI đã được bật cho từng ứng dụng web SharePoint, rà soát dấu hiệu xâm nhập trước khi xoay IIS keys, đồng thời hạn chế truy cập từ bên ngoài tới SharePoint Central Administration. Ngoài ra, cần cấu hình logging phù hợp để phát hiện hành vi khai thác.