Alert GCSA-26144 - Vulnerabilita' critica in Microsoft SharePoint in corso di sfruttamento

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

******************************************************************

   alert ID: GCSA-26144
       data: 26 luglio 2026
     titolo: Vulnerabilita' critica in Microsoft SharePoint in corso di sfruttamento

******************************************************************

:: Descrizione del problema

   Aggressori stanno sfruttando attivamente la vulnerabilita' critica CVE-2026-50522 (CVSS score 9.8) relativa a SharePoint,
   lo scopo e' rubare le chiavi e mantenere un accesso anche dopo l'aggiornamento dei server.

   La vulnerabilita' interessa le istanze on-premise, ed e' stata risolta nel "Patch Tuesday" dello scorso 14 luglio.

   Il 20 luglio e' stato individuato in rete un codice di exploit proof-of-concept,
   e poco dopo e' rilevato lo sfruttamento attivo della vulnerabilita'.

   Sebbene Microsoft indichi che lo sfruttamento richieda un certo livello di autenticazione, recenti scoperte
   suggeriscono che questo potrebbe non essere esatto.

   Nelle ultime settimane, Microsoft ha risolto anche altre vulnerabilita' che interessano SharePoint:

   CVE-2026-58644 (CVSS 9.8) Deserialization of Untrusted Data. Risolta luglio 2026.
   CVE-2026-56164 (CVSS 9.8) Missing Authentication for Critical Function. Risolta luglio 2026.
   CVE-2026-45659 (CVSS 8.8) Deserialization of Untrusted Data. Risolto maggio 2026.
   CVE-2026-32201 (CVSS 6.5) Improper Input Validation. Risolto aprile 2026.

   Maggiori dettagli sono disponibili alla sezione "Riferimenti".


:: Software / Tecnologie interessate

   Microsoft SharePoint Server Subscription Edition
   Microsoft SharePoint Server 2019
   Microsoft SharePoint Enterprise Server 2016


:: Impatto

   Esecuzione remota di codice arbitrario (RCE)
   Acquisizione di privilegi piu' elevati (EoP)
   Falsificazione dei dati (Spoofing)


:: Soluzioni

   E' vivamente raccomandato l'aggiornamento dei server interessati.
   E' opportuno anche il cambio delle credenziali per tutte le risorse esposte ad Internet.
   Condurre anche un vulnerability assessment per identificare le istanze SharePoint potenzialmente interessate.

   Considerato il numero di recenti vulnerabilita' critiche relative a SharePoint, le organizzazioni dovrebbero
   riconsiderare l'opportunita' di esporre direttamente a Internet qualsiasi server SharePoint.

   Plan security hardening for SharePoint Server
   https://learn.microsoft.com/en-us/sharepoint/security-for-sharepoint-server/security-hardening


:: Riferimenti

   Microsoft
   https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50522
   https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-58644
   https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-56164
   https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45659
   https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32201

   SecurityWeek
   https://www.securityweek.com/fourth-sharepoint-vulnerability-exploited-in-past-months-wave-of-attacks/
   https://www.securityweek.com/cisa-warns-of-actively-exploited-microsoft-sharepoint-vulnerability/
   https://www.securityweek.com/fresh-sharepoint-vulnerability-exploited-soon-after-disclosure/
   https://www.securityweek.com/cisa-urges-immediate-patching-of-exploited-sharepoint-vulnerabilities/

   CISA Alert
   https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-urges-sharepoint-hardening-after-new-exploitations

   Canadian Centre for Cyber Security
   https://www.cyber.gc.ca/en/alerts-advisories/al26-017-critical-vulnerabilities-impacting-microsoft-sharepoint-server-cve-2026-56164-cve-2026-55040-cve-2026-58644

   watchTowr post
   https://www.linkedin.com/posts/watchtowr_exploitation-alert-watchtowr-is-observing-activity-7485278595850940416-LSP8/

   Bleeping Computer
   https://www.bleepingcomputer.com/news/security/critical-sharepoint-rce-flaw-exploited-to-steal-machine-keys/
   https://www.bleepingcomputer.com/news/security/cisa-warns-admins-to-patch-actively-exploited-sharepoint-flaws/

   The Hacker News
   https://thehackernews.com/2026/07/cisa-adds-exploited-sharepoint-rce-zero.html


GARR CERT Security Alert - subscribe/unsubscribe:
http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----

iF0EAREIAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCamY68gAKCRDBnEyTZRJg
QuJ/AKC1n1XncGMldyRgM20rtT4PYYK5KQCgnoTUmS4ZgIukbpFokN1fNonLJ78=
=5GA6
-----END PGP SIGNATURE-----