La catena, spiegata

CVE-2026-55040 è un bypass della convalida dei token JWT che permette a un attaccante remoto e non autenticato di impersonare un utente o un amministratore di SharePoint. CVE-2026-63520 è una falla distinta nei Business Connectivity Services di SharePoint, un'istanziazione insicura di tipi .NET che permette a un attaccante di costruire una catena di oggetti su misura per eseguire comandi arbitrari del sistema operativo con i privilegi dell'account di servizio di SharePoint. Nessuna delle due falle è catastrofica da sola, ma il ricercatore di Rapid7 Stephen Fewer le ha rivelate entrambe a Microsoft come un'unica catena già a maggio, e insieme equivalgono a esecuzione di codice remoto non autenticata contro SharePoint Server Subscription Edition, SharePoint Server 2019 e SharePoint Enterprise Server 2016.

Microsoft ha corretto le due metà con tempistiche diverse: CVE-2026-55040 è arrivata con il Patch Tuesday di luglio 2026, e CVE-2026-63520 l'ha seguita un mese dopo, l'11 agosto 2026, insieme agli aggiornamenti della knowledge base KB5002893, KB5002894, KB5002896, KB5002905 e KB5002906 per le diverse edizioni interessate. Secondo Rapid7 non c'è ancora sfruttamento confermato della catena RCE completa nel mondo reale, poiché la divulgazione è stata coordinata. Per la prima metà la storia è diversa.

Perché conta dividere la patch in due mesi

Rapid7 ha pubblicato un'analisi tecnica dettagliata con proof-of-concept per CVE-2026-55040, e la società di threat intelligence Defused afferma che i suoi honeypot SharePoint hanno già registrato attaccanti reali che usano quella proof-of-concept pubblica per aggirare l'autenticazione, pochi giorni dopo la sua pubblicazione. Microsoft stessa non ha ancora confermato uno sfruttamento nel mondo reale, ma una rete di rilevamento indipendente che intercetta tentativi reali è un segnale forte che la scansione opportunistica è già iniziata.

La parte scomoda è il calendario. Poiché le due metà della catena sono state corrette a un mese di distanza, un'organizzazione che ha applicato diligentemente la correzione di luglio ha passato settimane a credere chiuso il problema di bypass dell'autenticazione, mentre la seconda metà, quella che completa la RCE, è rimasta senza patch fino all'11 agosto. Chi non ha ancora applicato insieme entrambi gli aggiornamenti KB di agosto e la correzione di luglio sta oggi eseguendo un percorso documentato e dimostrato pubblicamente verso l'esecuzione di codice non autenticata sul proprio server SharePoint -- non uno teorico.

Cosa controllare nel proprio ambiente SharePoint

Questo è chiaramente un problema on-premises: SharePoint Online non è interessato, ma le installazioni di SharePoint Server 2016, 2019 e Subscription Edition sono comuni tra enti pubblici, università e medie imprese europee e britanniche che non sono mai migrate del tutto al cloud. La lista pratica di controllo consiste nel confermare che entrambi gli aggiornamenti KB di luglio e agosto siano installati insieme, non solo uno dei due, perché una patch parziale lascia intatta la catena.

Vale la pena seguire anche il consiglio permanente della CISA a prescindere dallo stato delle patch: non esporre un server SharePoint on-premises direttamente a internet e, dove deve essere raggiungibile, metterlo dietro un reverse proxy di livello 7 o un controllo equivalente a livello applicativo capace di filtrare il tipo di richieste create ad arte da cui dipende questa catena. Dato che per metà catena esiste già una proof-of-concept pubblica e funzionante, trattate questo come un incidente attivo da gestire questa settimana, non come una voce di routine nel ciclo delle patch.

Da leggere ora: La patch di SharePoint che hai saltato a maggio ora è urgente  |  Il Ransomware Gunra Sfrutta Falle Fortinet del 2025