Negli ultimi giorni diversi attori malevoli hanno iniziato a sfruttare una vulnerabilità critica di Microsoft SharePoint subito dopo la pubblicazione di un codice proof of concept. Il problema è identificato come CVE 2026 55040 con punteggio CVSS 9.1 ed è stato corretto con gli aggiornamenti di sicurezza di luglio 2026.
La falla rientra nella categoria bypass di funzionalità di sicurezza e nasce da un meccanismo di autenticazione debole che permette l’impersonazione.
In uno scenario di attacco riuscito un aggressore non autenticato può aggirare i controlli di accesso su un server SharePoint vulnerabile ed eseguire operazioni arbitrarie come se fosse un utente del sito o un amministratore. Questo significa potenziale esposizione di file e possibilità di modifica dei dati. Pur non essendo indicato un impatto diretto sulla disponibilità del sistema, il rischio per la riservatezza e per l’integrità è elevato, soprattutto in ambienti enterprise dove SharePoint ospita documenti e flussi di lavoro critici.
Dinamica tecnica della vulnerabilità (validazione JWT)
Il cuore tecnico della vulnerabilità riguarda la validazione dei token JWT. La catena di sfruttamento combina più debolezze nel processo di parsing e verifica dei token bearer usati per scenari service-to-service. In particolare sono coinvolte classi che gestiscono la logica di interpretazione e validazione dei token e che consentono di arrivare alla creazione di un JWT considerato valido senza che la firma venga controllata in modo corretto.
Tecnica di sfruttamento descritta
La tecnica descritta prevede, tra gli altri passaggi, l’invio di un JWT con intestazione esterna impostata su alg none, così da non richiedere una firma per il token esterno. Inoltre viene usata una combinazione di campi header che permette di risolvere una chiave di firma senza verifica effettiva e di far accettare issuer non presenti tra i servizi fidati. Un ulteriore dettaglio critico è la presenza di una firma non vuota ma mai verificata.
Telemetria e raccomandazioni
Dati di telemetria indicano tentativi di sfruttamento già registrati a partire da luglio con un incremento netto dopo la diffusione del proof of concept. Le sorgenti risultano distribuite su più indirizzi IP e più aree geografiche tra cui Hong Kong, Giappone, Paesi Bassi, Taiwan e Stati Uniti. In questo contesto la misura più efficace resta la gestione tempestiva delle patch con aggiornamento immediato delle istanze SharePoint e verifica dei sistemi esposti.