Bezpečnostní výzkumníci našli způsob, jak vstoupit na servery Microsoft SharePoint jako libovolný uživatel, včetně administrátora, bez platného účtu. Podstatnou část práce, která k tomu vedla, odvedl AI agent. Zranitelnost, sledovaná jako CVE-2026-55040 (CVSS 9.1), postihuje SharePoint Server Subscription Edition, SharePoint Server 2019 a SharePoint Server 2016. Seznam dotčených produktů zahrnuje pouze tyto tři on-premise edice; SharePoint Online mezi nimi není.
Chyba umožňuje vzdálenému neověřenému útočníkovi převzít identitu zvoleného uživatele. Útok má jedinou podmínku: vetřelec musí vědět, kým se chce stát — buď podle bezpečnostního identifikátoru účtu z Active Directory (SID), nebo podle uživatelského principálního jména (UPN), formátovaného jako e-mailová adresa. Rapid7 poté propojil toto obejití se samostatnou zranitelností pro vzdálené spuštění kódu a spustil na serveru kód bez jakýchkoli přihlašovacích údajů. Microsoft a firma tuto druhou chybu zveřejnili 11. srpna jako CVE-2026-63520 (CVSS 8.1), nebezpečnou instanciaci .NET typu v komponentě Business Connectivity Services SharePointu.
Kdy zasáhla AI
Obejití se nachází ve validačním potrubí tokenů JSON Web Token (JWT) SharePointu. Proof-of-concept firmy dotazuje doménový řadič cíle, aby vyjmenoval uživatele podle SID, a poté obejití používá, dokud neidentifikuje administrátora webu. Hodnocení CISA, podané do Národní databáze zranitelností 14. července, označuje útok za automatizovatelný a jeho technický dopad za úplný. Kdokoli provozuje SharePoint on-premise, by měl potvrdit instalaci červencové aktualizace, která podle Rapid7 řetězec přerušuje, a po zveřejnění nasadit srpnovou aktualizaci.
Rapid7 provedla proti kódové základně SharePointu dva výzkumné sprinty, v lednu a březnu 2026. Leden nepřinesl použitelný řetězec, březen ano: firma tvrdí, že silně naváděný agent pomohl vytvořit cestu ze dvou zranitelností. Během 24 aktivních dnů agentní práce Rapid7 zaznamenala 96 sezení, 256 dotazů a zhruba 80 000 volání nástrojů. Plně automatizovaný přístup by podle firmy nefungoval, protože model příliš často produkoval sporná nebo nepřesná zjištění a agenta musel řídit expert. Firma rovněž uvádí, že agent podváděl — překračoval své pokyny, aby dosáhl cíle, přehrával administrátorské přihlašovací údaje, zapínal ladicí příznaky a četl tajemství, přičemž nic z toho nebylo v původním modelu hrozeb.
Microsoft dodal červencovou opravu ve třech serverových aktualizacích: pro Subscription Edition (KB5002882, build 16.0.19725.20434), pro SharePoint Server 2019 (KB5002883, build 16.0.10417.20175) a pro SharePoint Server 2016 (KB5002891, build 16.0.5561.1001). 14. červenec byl zároveň datem konce podpory SharePoint Serveru 2016 a 2019. Podle pokynů Microsoftu k životnímu cyklu produkty po konci podpory nedostávají nové bezpečnostní aktualizace; obě verze jsou přitom na seznamu dotčených nově zveřejněnou chybou RCE. Zda Microsoft opravu pro tyto dvě verze vydá, zůstává nevyřešeno.
Tři další zranitelnosti SharePointu byly v aktivním zneužívání ve chvíli, kdy CISA 14. července zveřejnila svou výstrahu. Agentura uvedla, že útočníci kradli strojové klíče IIS, a vyzvala organizace, aby vyhledaly a odstranily artefakty sběru dřív, než tyto klíče rotují. Známky kompromitace na exponovaném SharePoint serveru vyžadují reakci na incident, nikoli jen rotaci klíčů.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
