Microsoft opublikował poza harmonogramem aktualizację zabezpieczeń usuwającą lukę umożliwiającą zdalne wykonanie kodu w Microsoft SharePoint Server. Luka, śledzona jako CVE-2026-45659, może pozwolić uwierzytelnionemu atakującemu z niskimi uprawnieniami na zdalne wykonanie kodu na podatnym serwerze SharePoint.
Microsoft przypisał tej luce wynik CVSS 8.8, co plasuje ją w przedziale wysokiej krytyczności. Choć firma określiła wykorzystanie luki jako mniej prawdopodobne, decyzja o wydaniu awaryjnej łatki poza zwykłym cyklem Patch Tuesday sugeruje, że Microsoft uznaje problem za wystarczająco ważny, by wymagał natychmiastowej uwagi.
Organizacje korzystające ze środowisk SharePoint on-premises powinny potraktować to jako priorytetowe zdarzenie w zakresie łatania.
Czym jest CVE-2026-45659?
CVE-2026-45659 to luka umożliwiająca zdalne wykonanie kodu, spowodowana deserializacją niezaufanych danych w Microsoft Office SharePoint.
Mówiąc prosto: SharePoint może przetwarzać specjalnie spreparowane dane w niebezpieczny sposób. Jeśli atakujący jest w stanie przesłać złośliwe dane do podatnego komponentu, serwer może zinterpretować je tak, że uruchomi kod kontrolowany przez atakującego.
Microsoft informuje, że atak może zostać przeprowadzony przez sieć przez uwierzytelnionego użytkownika posiadającego co najmniej uprawnienia Site Member. Atakujący nie potrzebuje praw administratora ani podwyższonych uprawnień.
Ten szczegół jest ważny.
Wiele organizacji traktuje luki typu „uwierzytelniony atakujący” jako mniej priorytetowe, ponieważ atakujący musi najpierw zdobyć konto. Jednak w rzeczywistych środowiskach konta o niskich uprawnieniach są często osiągalne przez phishing, ponowne użycie haseł, kradzież tokenów sesji, ujawnione poświadczenia, skompromitowanych partnerów lub słabe wewnętrzne kontrole dostępu.
Gdy atakujący zdobędzie podstawowy przyczółek, taka luka może stać się poważną ścieżką eskalacji.
Dlaczego ta luka ma znaczenie
Udany exploit mógłby umożliwić zdalne wykonanie kodu na serwerze SharePoint. Stwarza to poważne ryzyko dla poufności, integralności i dostępności.
W zależności od środowiska i konfiguracji serwera atakujący mógłby potencjalnie:
- uzyskać dostęp do wrażliwych treści w SharePoint
- modyfikować lub usuwać dokumenty
- wykraść poświadczenia lub materiały uwierzytelniające
- wdrożyć web shelle lub dodatkowe złośliwe oprogramowanie
- zapewnić sobie trwały dostęp (persistence)
- przemieszczać się bocznie do innych systemów powiązanych z Microsoft
- wykorzystać SharePoint jako punkt wyjścia do szerszej kompromitacji
- zakłócić działanie usług współpracy
- wspierać kradzież danych lub działania wymuszeniowe
SharePoint jest często głęboko zintegrowany z procesami korporacyjnymi. Może zawierać umowy, dokumentację wewnętrzną, dokumenty finansowe, materiały HR, pliki projektowe, projekty techniczne, dokumenty prawne i własność intelektualną.
To czyni go cennym celem.
Dlaczego awaryjna łatka ma znaczenie
Microsoft zazwyczaj wydaje aktualizacje zabezpieczeń w ramach miesięcznego cyklu Patch Tuesday. Aktualizacja poza harmonogramem (out-of-band) oznacza, że Microsoft wydał poprawkę poza standardowym terminarzem.
Zwykle dzieje się tak, gdy luka jest uznawana za na tyle pilną, że czekanie na kolejny regularny cykl nie jest wskazane.
W momencie publikacji raportu nic nie wskazywało na istnienie publicznego kodu exploita ani potwierdzonego wykorzystywania luki w atakach. Jednak luki w SharePoint mają za sobą historię szybko przyciągającego uwagę atakujących zainteresowania, gdy tylko szczegóły stają się publiczne.
Wcześniejsze luki w SharePoint były wykorzystywane przez operatorów ransomware, przestępców motywowanych finansowo i grupy zagrożeń powiązane z państwami. Kod proof-of-concept dla luk o dużym wpływie może pojawić się szybko, skracając czas, jaki mają obrońcy na reakcję.
Dla administratorów najbezpieczniejszym podejściem jest załatanie systemów, zanim wykorzystywanie luki stanie się powszechne.
SharePoint nadal jest cennym celem
Microsoft SharePoint Server od dawna przyciąga atakujących, ponieważ znajduje się w centrum korporacyjnej współpracy.
Skompromitowany serwer SharePoint może dawać dostęp do:
- dokumentów wewnętrznych
- planów biznesowych
- własności intelektualnej
- informacji o pracownikach
- danych projektowych
- rejestrów klientów
- workflowów
- integracji uwierzytelniania
- wewnętrznych odnośników i dokumentacji systemowej
W wielu organizacjach SharePoint jest też połączony z Active Directory, Teams, Outlook, procesami Microsoft Office i innymi usługami wewnętrznymi. Oznacza to, że kompromitacja SharePoint może być czymś więcej niż incydentem kradzieży dokumentów. Może stać się trampoliną do ruchu bocznego.
Wdrożenia SharePoint on-premises są szczególnie atrakcyjne, ponieważ w dużym stopniu zależą od lokalnego łatania, konfiguracji, monitorowania i utwardzania. Jeśli aktualizacje są opóźniane lub systemy są wystawione do internetu, atakujący mogą zyskać cenną okazję.
Wnioski z wcześniejszych ataków na SharePoint
SharePoint wielokrotnie pojawiał się w dużych kampaniach cyberprzestępczych.
Grupy zagrożeń powiązane z Chinami wykorzystywały już wcześniej luki w SharePoint do kradzieży własności intelektualnej i utrzymywania dostępu do wrażliwych środowisk. Operatorzy ransomware również używali błędów SharePoint w kampaniach wymuszeniowych.
W 2025 roku Microsoft ujawnił łańcuch luk zero-day w SharePoint znany jako ToolShell, który według doniesień był wykorzystywany przeciwko wdrożeniom SharePoint on-premises w agencjach rządowych, uczelniach, korporacjach i innych wrażliwych organizacjach.
Ta historia ma znaczenie, ponieważ atakujący rozumieją wartość SharePoint. Gdy tylko ujawniona zostaje nowa luka, często szybko ją testują, przekształcają w broń i skanują sieć w poszukiwaniu wystawionych systemów.
Nawet jeśli CVE-2026-45659 nie jest obecnie publicznie wykorzystywana, nie należy jej ignorować.
Dlaczego „uwierzytelniony” nie znaczy „bezpieczny”
Niektóre zespoły mogą obniżyć priorytet tej luki, ponieważ jej wykorzystanie wymaga uwierzytelnienia.
Byłby to błąd.
Atakujący często zdobywają dostęp o niskim poziomie, zanim przejdą do eskalacji. Typowe ścieżki to:
- kampanie phishingowe
- skradzione hasła
- skompromitowane konta Microsoft 365
- wycieki poświadczeń
- password spraying
- kradzież tokenów sesji
- skompromitowane konta podmiotów zewnętrznych
- zbyt szerokie uprawnienia w SharePoint
- słaba segmentacja wewnętrzna
Jeśli atakujący skompromituje zwykłe konto użytkownika z dostępem Site Member, może być w stanie wykorzystać tę lukę do wykonania kodu na serwerze SharePoint.
Niskie uprawnienia to wciąż uprawnienia.
Co administratorzy SharePoint powinni zrobić teraz
Organizacje korzystające z Microsoft SharePoint Server powinny nadać priorytet naprawie.
Zalecane działania obejmują:
- jak najszybsze zainstalowanie awaryjnej łatki Microsoftu dla CVE-2026-45659
- sprawdzenie, czy wszystkie serwery SharePoint w farmie zostały zaktualizowane
- potwierdzenie stanu łatki po instalacji
- przegląd ekspozycji serwerów SharePoint w internecie
- ograniczenie dostępu zewnętrznego tam, gdzie to możliwe
- przegląd uprawnień Site Member i usunięcie zbędnego dostępu
- wymuszenie MFA dla wszystkich kont SharePoint i kont powiązanych z Microsoft
- monitorowanie nietypowej aktywności użytkowników o niskich uprawnieniach w SharePoint
- przegląd logów serwera pod kątem podejrzanych żądań lub nieoczekiwanych błędów
- sprawdzenie obecności web shelli, nowych plików lub nietypowych modyfikacji
- monitorowanie podejrzanego uruchamiania procesów na serwerach SharePoint
- upewnienie się, że kopie zapasowe są aktualne i przetestowane
- przegląd telemetrii z punktów końcowych i EDR pochodzącej z serwerów SharePoint
Jeśli SharePoint jest dostępny z internetu, łatanie należy traktować jako pilne.
Priorytety wykrywania i monitorowania
Zespoły ds. bezpieczeństwa powinny zwiększyć monitorowanie serwerów SharePoint po zainstalowaniu łatki, zwłaszcza jeśli systemy były wystawione na ryzyko przed naprawą.
Przydatne obszary do monitorowania to:
- nietypowe żądania do punktów końcowych SharePoint
- nieoczekiwane uruchamianie procesów przez konta usług SharePoint
- podejrzana aktywność PowerShell
- nowo utworzone lub zmodyfikowane pliki w katalogach webowych SharePoint
- zachowania przypominające web shella
- nietypowe połączenia wychodzące z serwerów SharePoint
- nietypowe działania użytkowników o niskich uprawnieniach
- anomalie w uwierzytelnianiu
- zmiany w konfiguracji SharePoint
- próby uzyskania dostępu do dużych ilości dokumentów
Ponieważ skuteczne wykorzystanie luki mogłoby prowadzić do wykonania kodu, obrońcy powinni poważnie traktować podejrzaną aktywność po stronie serwera.
Zalecenia dotyczące utwardzania
Poza łataniem organizacje powinny wykorzystać to zdarzenie jako powód do przeglądu utwardzania SharePoint.
Kluczowe kroki obejmują:
- utrzymywanie SharePoint w pełni załatanego
- unikanie bezpośredniego wystawiania SharePoint do internetu, jeśli nie jest to wymagane
- umieszczenie SharePoint za silnymi mechanizmami kontroli dostępu
- stosowanie ochrony Web Application Firewall tam, gdzie jest to właściwe
- egzekwowanie zasady najmniejszych uprawnień w witrynach i bibliotekach
- przegląd starszych integracji
- usunięcie nieużywanych kont usług
- monitorowanie zachowania kont usług
- włączenie scentralizowanego logowania
- ograniczenie dostępu administracyjnego
- segmentację SharePoint względem wrażliwych systemów zaplecza
- utrzymywanie przetestowanych kopii zapasowych i procedur odzyskiwania
Łatanie usuwa bezpośrednią lukę, ale utwardzanie zmniejsza skutki przyszłych błędów.
Podsumowanie
CVE-2026-45659 to poważna luka w SharePoint Server, ponieważ umożliwia uwierzytelnione zdalne wykonanie kodu przy jedynie niskich uprawnieniach.
Na tym etapie nie potwierdzono powszechnego wykorzystywania luki, ale historia SharePoint jako cennego celu ataków sprawia, że ryzyko jest znaczące. Decyzja Microsoftu o wydaniu łatki poza harmonogramem potwierdza potrzebę szybkiego działania.
Organizacje nie powinny czekać na publiczny kod exploita ani potwierdzone ataki, zanim zareagują.
Dla administratorów SharePoint priorytet jest jasny: szybko załataj, zweryfikuj aktualizację, ogranicz ekspozycję, przejrzyj uprawnienia i uważnie monitoruj podejrzaną aktywność.
We współczesnych środowiskach korporacyjnych SharePoint to nie tylko narzędzie do współpracy. To krytyczna platforma danych — i atakujący doskonale o tym wiedzą.
