SharePoint e SAP sotto attacco, Cisco prepara patch e AWS corregge OpenSearch e SDK

🛡️ Executive Summary

• SharePoint CVE-2026-55040 viene sfruttata dopo il PoC Rapid7, mentre SAP Commerce Cloud CVE-2026-58231 registra tentativi appena tre giorni dopo la patch.
• Cisco anticipa advisory del 19 agosto per BroadWorks, Crosswork, switch Industrial Ethernet, Contact Center, RoomOS, Secure Workload e Unified Intelligence Center.
• AWS corregge tre problemi OpenSearch e due memory-safety bug nel decoder Base64 dell’SDK C++, con aggiornamenti anche sui servizi gestiti.

Microsoft SharePoint e SAP Commerce Cloud sono già sotto attacco, mentre Cisco anticipa un nuovo ciclo di advisory e AWS pubblica quattro bollettini dedicati a OpenSearch e al proprio SDK C++. La vulnerabilità CVE-2026-55040 permette di falsificare token JWT e impersonare utenti o amministratori SharePoint senza autenticazione, con tentativi aumentati dopo la pubblicazione del proof-of-concept di Rapid7. CVE-2026-58231 raggiunge invece CVSS 10.0 e può portare alla code execution su SAP Commerce Cloud: i primi tentativi sono comparsi tre giorni dopo il Patch Day. Sul cloud, AWS interviene su autorizzazioni, SSRF, validazione SQL e sicurezza della memoria.

Il PoC trasforma CVE-2026-55040 in una minaccia immediata per SharePoint

CVE-2026-55040 rappresenta un authentication bypass con punteggio CVSS 9.1 corretto da Microsoft nel Patch Tuesday di luglio 2026 e ora passato dalla possibilità teorica allo sfruttamento osservato contro sistemi reali. Rapid7 ha dimostrato nella propria analisi tecnica della vulnerabilità SharePoint che un attaccante remoto non autenticato può costruire un token JWT valido sfruttando una concatenazione di quattro debolezze nella pipeline di validazione dei token. Il problema coinvolge le classi SPJsonWebSecurityTokenHandlerV2 e SPJsonWebSecurityBaseTokenHandlerV2, utilizzate da SharePoint per processare i token Bearer service-to-service. L’attaccante può utilizzare alg: none nel token esterno, indicare nel campo x5t dell’actor token il thumbprint del certificato STS di SharePoint, sfruttare una verifica insufficiente dell’issuer e fornire una firma non vuota che viene considerata presente senza essere realmente verificata crittograficamente. Il risultato è la possibilità di impersonare qualsiasi utente del sito, compreso un amministratore, accedere ai file e modificare dati. La ricerca arriva in un momento particolarmente delicato per SharePoint: Matrice Digitale aveva già documentato le vulnerabilità critiche della piattaforma insieme alle falle di Argo CD e Cursor e, ancora più recentemente, l’impiego di vulnerabilità SharePoint in operazioni ransomware e supply chain. Il problema non è quindi un singolo bug isolato, ma la concentrazione di vulnerabilità sfruttabili su una piattaforma che nelle reti enterprise custodisce documenti, identità e informazioni amministrative di grande valore.

Gli attacchi aumentano dopo la pubblicazione dell’exploit Rapid7

La pubblicazione del PoC ha drasticamente ridotto il lavoro necessario per trasformare CVE-2026-55040 in un attacco operativo. Il codice Rapid7 automatizza la costruzione del JWT contraffatto, interroga il domain controller del bersaglio, enumera gli utenti attraverso i SID e individua automaticamente un account amministrativo del sito. Non è quindi necessario sviluppare indipendentemente l’intera catena di autenticazione: una volta individuata un’istanza non aggiornata, parte della procedura è già disponibile pubblicamente. La società di threat intelligence Defused ha comunicato nei propri honeypot SharePoint l’utilizzo del PoC Rapid7 contro sistemi esposti, mentre la telemetria raccolta da terze parti mostra una concentrazione dei tentativi proprio nei giorni successivi alla disclosure tecnica. La rapidità con cui un exploit pubblico viene integrato nelle scansioni automatiche era già emersa durante il precedente ciclo SharePoint, quando vulnerabilità differenti erano state sfruttate in tempi ridotti da gruppi con finalità di spionaggio, accesso iniziale ed estorsione.

Il contesto enterprise rende la situazione più delicata rispetto a una normale applicazione Web: un server SharePoint può diventare un punto di raccolta di documenti, credenziali, configurazioni e informazioni necessarie per costruire ulteriori movimenti laterali. Lo stesso principio è visibile nelle campagne identity-based contro Microsoft 365, dove Matrice Digitale ha mostrato come Kali365 e Greatness puntino proprio a SharePoint e OneDrive dopo il furto delle sessioni. Chi utilizza SharePoint Server on-premises deve quindi verificare l’applicazione degli aggiornamenti di luglio senza considerare la presenza del PoC come semplice attività di ricerca: lo sfruttamento è già entrato nella fase automatizzata.

SAP Commerce Cloud passa dalla patch agli attacchi in tre giorni

La finestra è ancora più stretta per SAP Commerce Cloud. CVE-2026-58231, vulnerabilità di improper authorization nel Data Hub Adapter, raggiunge il punteggio massimo CVSS 10.0 e interessa le versioni COM_CLOUD 2211 e 2211-JDK21. SAP ha pubblicato la correzione l’11 agosto all’interno del proprio Security Patch Day di agosto 2026, spiegando che un attaccante non autenticato può abusare di un client di autenticazione predefinito e inviare input appositamente costruiti verso funzioni prive di controlli sufficienti. Una compromissione riuscita può arrivare all’esecuzione arbitraria di codice e incidere contemporaneamente su confidenzialità, integrità e disponibilità dell’applicazione. Appena tre giorni dopo il rilascio della patch, Defused ha segnalato i primi tentativi contro CVE-2026-58231 osservati nei propri honeypot, nonostante al momento della rilevazione non risultasse ancora disponibile un PoC pubblico. SAP ha dichiarato di essere al corrente delle segnalazioni e di stare verificando l’attività, raccomandando l’applicazione immediata della Security Note 3771065. Matrice Digitale aveva già ricostruito il bug quando era ancora nella fase di remediation, all’interno dell’approfondimento su vCenter, LiteLLM e la RCE critica di SAP Commerce Cloud. Il passaggio agli attacchi cambia però la priorità operativa: CVE-2026-58231 non è più soltanto una vulnerabilità CVSS 10 da pianificare nel normale ciclo di patching.

Il Patch Day SAP contiene altre falle critiche oltre Commerce Cloud

Concentrarsi esclusivamente sulla CVE già bersagliata rischia inoltre di nascondere l’ampiezza del Patch Day SAP di agosto. Il produttore ha distribuito 28 nuove Security Note, un advisory GitHub e due aggiornamenti di note precedenti. Subito dietro CVE-2026-58231 compare CVE-2026-44772, code injection in SAP Manufacturing Integration and Intelligence valutata CVSS 9.9, seguita da CVE-2026-34265, memory corruption in SAP NetWeaver e ABAP Platform con CVSS 9.8, e da un’altra code injection MII, CVE-2026-44758, valutata 9.1. Lo stesso pacchetto comprende inoltre CVE-2026-42945, potenziale buffer overflow di Commerce Cloud negli ambienti public cloud con NGINX, e diverse vulnerabilità in BusinessObjects, SAP Business AI Platform, NetWeaver e SAPUI5. Il quadro è importante perché i sistemi SAP costituiscono spesso il livello applicativo nel quale convergono ordini, supply chain, amministrazione, dati finanziari e processi industriali: la compromissione non deve necessariamente iniziare dal bug più grave per produrre conseguenze significative. La rapidità osservata sulla Data Hub Adapter ricorda quanto già accaduto con altre applicazioni enterprise Internet-facing, dove la pubblicazione di una patch diventa contemporaneamente un’indicazione per gli attaccanti su dove concentrare reverse engineering e scansioni. Il passaggio da disclosure ad attacco in 72 ore rende quindi essenziale ragionare non soltanto sul singolo CVE, ma sull’intero inventario SAP esposto e sul tempo necessario per portare le correzioni in produzione.

Cisco anticipa un nuovo ciclo di sicurezza per sette famiglie di prodotti

Mentre SharePoint e SAP affrontano sfruttamento reale, Cisco PSIRT ha scelto di anticipare il prossimo ciclo di disclosure previsto per il 19 agosto 2026. L’Advance Notification pubblicata da Cisco non contiene ancora CVE, punteggi o dettagli tecnici, ma identifica le famiglie di prodotto per le quali verranno pubblicati advisory e software corretto: BroadWorks, Crosswork, Industrial Ethernet 1000 Series Switches, Packaged Contact Center Enterprise, Unified Contact Center Enterprise, RoomOS, Secure Workload e Unified Intelligence Center. La versione iniziale dell’avviso comprendeva Secure Firewall, successivamente rimosso, mentre Crosswork è stato aggiunto nell’aggiornamento del 14 agosto. Cisco sottolinea che non sono disponibili workaround e invita i clienti a pianificare l’installazione delle release corrette quando gli advisory completi verranno pubblicati. Per Matrice Digitale è un ciclo da seguire con particolare attenzione perché diversi prodotti hanno già ricevuto correzioni importanti nelle ultime settimane: il 5 agosto sono state analizzate le falle critiche in IOS XE, Catalyst SD-WAN, CIMC e RoomOS, mentre pochi giorni prima Cisco FMC era finita nel catalogo CISA KEV per una vulnerabilità legata a credenziali statiche. L’advance notification non significa che tutte le nuove vulnerabilità saranno critiche o sfruttate: fino al 19 agosto qualsiasi valutazione sull’impatto sarebbe prematura. Indica però già quali piattaforme gli amministratori devono prepararsi a riesaminare.

AWS corregge autorizzazioni troppo ampie in OpenSearch Alerting

Il primo dei quattro nuovi bollettini AWS riguarda CVE-2026-19311 nel plugin OpenSearch Alerting. Un utente già autenticato e in possesso del ruolo alerting_full_access poteva creare una richiesta inline monitor costruita appositamente indicando data source e indici non previsti e arrivare a leggere, modificare o cancellare dati appartenenti a indici arbitrari. Il problema interessa le versioni self-managed del plugin dalla 2.4.0 alla 2.19.5 e dalla 3.0.0 alla 3.7.0, corrette rispettivamente in 2.19.6 e 3.8.0. Per Amazon OpenSearch Service sono interessati i domini con engine da 2.4 a 3.5 e il fix arriva attraverso il service software R20260428-P3, secondo il bollettino AWS 2026-078. La vulnerabilità non offre accesso iniziale a un utente anonimo, ma viola un confine importante tra il ruolo attribuito all’operatore e gli indici sui quali dovrebbe poter intervenire. In ambienti nei quali OpenSearch aggrega log applicativi, dati operativi o telemetria di sicurezza, una separazione insufficiente può diventare particolarmente grave dopo una prima compromissione delle credenziali. La superficie OpenSearch è sempre più importante anche nell’infrastruttura AWS analizzata da Matrice Digitale: il recente approfondimento su MCP stateless, agenti e integrazione OpenSearch mostrava quanto il motore venga ormai collegato a workload e strumenti molto diversi, aumentando il valore dei dati raccolti al suo interno.

Security Analytics permette SSRF e lettura di file locali

Un secondo problema interessa il plugin OpenSearch Security Analytics. CVE-2026-18952 deriva dalla validazione insufficiente degli input nel parser dei threat intelligence feed e può essere sfruttata da un utente autenticato con ruolo security_analytics_full_access per eseguire server-side request forgery e leggere file locali attraverso un URL malevolo configurato come sorgente di threat intelligence. Il bollettino AWS 2026-079 indica come vulnerabili le versioni self-managed dalla 2.15.0 in avanti, mentre il ramo corretto indicato è 3.5.0 o successivo. Su Amazon OpenSearch Service la funzionalità interessata non risulta abilitata nella configurazione predefinita e AWS ha distribuito la correzione tramite service software per i domini coinvolti. La classe SSRF è particolarmente delicata nel cloud perché una richiesta generata dal server può raggiungere risorse che non sarebbero direttamente accessibili all’attaccante, come servizi interni, endpoint amministrativi o indirizzi locali. In questo caso AWS specifica anche la possibilità di leggere file presenti sul sistema, trasformando un parser destinato a importare intelligence di sicurezza nel possibile punto di accesso a informazioni del nodo. È un esempio significativo di come componenti progettati proprio per la security analytics possano introdurre nuovi confini di fiducia quando accettano indirizzi controllabili dagli utenti. Matrice Digitale aveva già seguito il ciclo recente di vulnerabilità AWS nell’approfondimento su cPanel e servizi cloud interessati da falle critiche, dove il problema comune era ancora una volta l’abuso di funzioni legittime attraverso input insufficientemente vincolati.

OpenSearch SQL consente di aggirare la deny list delle query asincrone

CVE-2026-18428 interessa invece il plugin SQL di OpenSearch e più precisamente il query handler dell’estensione Flint, utilizzata per eseguire query asincrone e integrare sorgenti esterne attraverso Apache Spark. La validazione applicata alle query SQL non impone restrizioni sufficienti e permette a un utente con accesso alle async query di aggirare la deny list della grammatica SQL attraverso il direct query endpoint. Il bollettino AWS 2026-081 indica come vulnerabili le release OpenSearch dalla 2.13 alla 3.6, con correzioni nelle versioni 2.19.6 e 3.7. Per Amazon OpenSearch Service il problema ha interessato gli engine dalla 2.13 alla 3.5 ed è stato risolto attraverso un service software update senza necessità di aggiornare la versione del motore. Il difetto completa un gruppo di tre problemi che mostrano rischi differenti dentro lo stesso ecosistema: l’Alerting plugin supera il perimetro autorizzativo degli indici, Security Analytics consente di manipolare le destinazioni delle richieste e SQL permette di aggirare una politica progettata per vietare determinate query. In tutti e tre i casi l’attaccante deve già disporre di un livello di accesso, ma proprio per questo le falle diventano rilevanti nelle compromissioni post-authentication, dove un account limitato può essere utilizzato come punto di partenza per raggiungere risorse che la policy avrebbe dovuto mantenere separate.

Il decoder Base64 dell’AWS SDK C++ espone due problemi di memoria

L’ultimo bollettino si sposta da OpenSearch alla supply chain applicativa. CVE-2026-19642 e CVE-2026-19643 interessano il decoder Base64 incluso nella libreria core dell’AWS SDK for C++ fino alla versione 1.11.861. La prima vulnerabilità è una out-of-bounds write: determinati input possono indurre il decoder a scrivere oltre il limite del buffer allocato sullo heap, con possibile crash o corruzione della memoria. AWS specifica che non è stata dimostrata remote code execution. CVE-2026-19643 è invece una out-of-bounds read che su alcune piattaforme permette al decoder di leggere fuori dalla propria decode table e può provocare il crash del processo. Entrambi gli effetti rimangono confinati al processo dell’applicazione che esegue la decodifica, secondo il bollettino AWS 2026-080. Il problema è particolarmente interessante perché la correzione di una libreria SDK non coincide automaticamente con l’aggiornamento di tutte le applicazioni che la incorporano: sviluppatori e vendor devono individuare le build interessate, aggiornare la dipendenza e distribuire nuovamente i propri binari. È lo stesso problema di propagazione delle dipendenze che rende la supply chain software più difficile da correggere rispetto a un servizio SaaS centralizzato. Nell’archivio di Matrice Digitale, AWS e Cisco erano già stati analizzati insieme per vulnerabilità RCE in componenti cloud e di rete, mostrando come librerie, appliance e servizi gestiti richiedano strategie di remediation profondamente differenti.

La finestra tra patch e sfruttamento continua a ridursi

SharePoint e SAP mostrano il lato più urgente del ciclo di agosto: una patch pubblicata non chiude la vulnerabilità finché non raggiunge realmente i sistemi esposti. Nel primo caso la disponibilità del PoC Rapid7 ha ridotto il costo tecnico dell’attacco e accelerato l’attività contro le istanze non aggiornate; nel secondo i tentativi su SAP Commerce Cloud sono comparsi appena tre giorni dopo il Patch Day nonostante l’assenza iniziale di codice pubblico noto. Cisco permette invece agli amministratori di preparare in anticipo il ciclo del 19 agosto, mentre AWS mostra il vantaggio operativo del modello managed, nel quale alcune correzioni OpenSearch possono essere distribuite attraverso service software senza richiedere la stessa procedura necessaria per le installazioni self-managed. Non tutte le vulnerabilità hanno quindi la stessa priorità: CVE-2026-55040 e CVE-2026-58231 richiedono una risposta immediata perché esistono evidenze di targeting, i quattro bollettini AWS richiedono verifica delle versioni e aggiornamento delle dipendenze, mentre per Cisco bisogna attendere gli advisory completi prima di definire gravità ed esposizione. La costante è però ormai evidente: il tempo disponibile tra disclosure, studio della patch e attività offensiva continua a comprimersi, rendendo inventario e velocità di remediation parte integrante della difesa e non semplici operazioni amministrative.