Khai thác vượt xác thực SharePoint sau khi PoC được công bố
"Attackers are exploiting CVE-2026-55040, a critical Microsoft SharePoint authentication bypass caused by weaknesses in JWT token validation, after a public proof-of-concept was released. Successful exploitation can let an unauthenticated attacker impersonate SharePoint users or administrators, disclose files, and modify data; Microsoft patched the issue in its July 2026 Patch Tuesday updates."
Ảnh hưởng ở mức nghiêm trọng do cho phép vượt xác thực và giả mạo tài khoản; có thể dẫn tới rò rỉ dữ liệu và sửa đổi nội dung trên SharePoint.
Có thể gây gián đoạn vận hành tài liệu và rủi ro lộ thông tin nội bộ; tổ chức cần ưu tiên vá lỗi và kiểm tra dấu hiệu khai thác trên các máy chủ công khai.
Các tác nhân tấn công đang khai thác CVE-2026-55040, một lỗi bypass xác thực nghiêm trọng trong Microsoft SharePoint, sau khi mã proof-of-concept (PoC) được công bố công khai. Lỗ hổng này liên quan đến điểm yếu trong quy trình xác thực JWT và đã được Microsoft vá trong July 2026 Patch Tuesday.
Theo mô tả kỹ thuật, khai thác thành công có thể cho phép kẻ tấn công không cần xác thực giả mạo người dùng hoặc quản trị viên SharePoint, từ đó đọc tệp và thay đổi dữ liệu trên hệ thống bị ảnh hưởng. Rapid7 cho biết vấn đề nằm ở nhiều điểm trong chuỗi xử lý token, bao gồm các lớp SPJsonWebSecurityTokenHandlerV2 và SPJsonWebSecurityBaseTokenHandlerV2.
Telemetry ghi nhận 12 lần cố gắng khai thác kể từ 19/07/2026, trong đó 8 lần xảy ra vào 12-13/08/2026. Các nguồn tấn công đến từ 8 địa chỉ IP thuộc 5 khu vực/quốc gia.
Khuyến nghị: kiểm tra ngay trạng thái bản vá trên các máy chủ SharePoint, ưu tiên hệ thống còn mở Internet, rà soát nhật ký truy cập bất thường và xác minh việc áp dụng đầy đủ các cập nhật bảo mật mới nhất.