SharePoint sotto attacco dopo il PoC: nuova corsa alle RCE enterprise

🛡️ Executive Summary

• Gli attaccanti hanno iniziato a provare il PoC di CVE-2026-55040 contro server SharePoint dopo la pubblicazione dell’authentication bypass.
• CISA dimostra che strumenti identici producono risultati opposti quando un SOC non riesce a distinguere gli attacchi dal rumore degli alert.
• Kaltura resta senza patch per due falle pre-auth, mentre Ubiquiti corregge tre vulnerabilità capaci di compromettere Protect, UniFi OS e Talk.

Microsoft SharePoint torna al centro dell’attività offensiva dopo la pubblicazione del proof-of-concept per CVE-2026-55040, vulnerabilità che permette di falsificare token JWT e impersonare utenti o amministratori senza credenziali. I primi tentativi sono comparsi negli honeypot meno di un giorno dopo la divulgazione del codice, mentre una seconda ricerca ha trasformato il bypass in una catena completa di esecuzione remota collegandolo a CVE-2026-63520. Il quadro enterprise viene aggravato da due falle Kaltura ancora prive di correzione e da tre vulnerabilità di massima gravità nei prodotti Ubiquiti. In parallelo, un’operazione red team della CISA dimostra che il punto decisivo non è soltanto impedire l’accesso iniziale, ma rilevare e contenere l’attaccante prima della compromissione del dominio.

SharePoint viene bersagliato subito dopo la pubblicazione del PoC

La vulnerabilità CVE-2026-55040, valutata CVSS 9.1, interessa SharePoint Server 2016, SharePoint Server 2019 e SharePoint Server Subscription Edition, senza coinvolgere SharePoint Online. Il problema permette a un attaccante remoto non autenticato di costruire un JSON Web Token accettato dal server e assumere l’identità di un utente conosciuto, compreso un amministratore del sito. Rapid7 ha pubblicato l’11 agosto il proprio PoC e l’analisi tecnica della pipeline JWT vulnerabile; già il giorno successivo, infrastrutture honeypot hanno registrato richieste costruite utilizzando direttamente quel codice. La telemetria conferma quindi interesse offensivo e tentativi di sfruttamento, ma non permette da sola di stabilire quante organizzazioni reali siano state compromesse o se gli attaccanti abbiano già concatenato pubblicamente il bypass con la seconda vulnerabilità.

CISA ha comunque inserito CVE-2026-55040 nel Known Exploited Vulnerabilities Catalog il 18 agosto, trasformando il problema da rischio teorico a priorità operativa. La velocità osservata conferma quanto emerso con SharePoint e SAP colpiti pochi giorni dopo la distribuzione delle rispettive patch: la pubblicazione di dettagli tecnici riduce drasticamente il tempo disponibile agli amministratori, soprattutto quando i server on-premises restano direttamente raggiungibili da Internet.

Quattro errori nella verifica JWT aprono l’accesso agli amministratori

CVE-2026-55040 non deriva da un singolo controllo assente, ma dalla concatenazione di quattro debolezze nella validazione dei token service-to-service. SharePoint accetta un token esterno con l’algoritmo impostato su none perché il codice disattiva il requisito della firma; il token interno può indicare attraverso il campo x5t l’impronta del certificato STS dello stesso server; la chiave viene risolta senza verificare crittograficamente la firma associata; infine, la funzione incaricata di validare l’issuer accetta il certificato quando non trova un servizio registrato corrispondente. Anche il controllo finale si limita a verificare che esista una stringa nel campo della firma, senza stabilire che si tratti realmente di una firma RSA valida. L’attaccante può quindi recuperare il certificato pubblico STS attraverso un endpoint accessibile senza autenticazione, costruire il token manipolato e inserire nel claim nameid lo SID oppure lo UPN della persona da impersonare. Il risultato non è soltanto un accesso generico: il criminale può scegliere l’identità che SharePoint dovrà riconoscere, a condizione di conoscerne o individuarne l’identificatore. Microsoft ha corretto il bypass nel ciclo di luglio attraverso KB5002882 per Subscription Edition, KB5002883 per Server 2019 e KB5002891 per Server 2016. La documentazione Microsoft dedicata all’aggiornamento di Subscription Edition conferma l’inclusione di CVE-2026-55040 nel pacchetto cumulativo. Installare soltanto i file senza completare la configurazione della farm può però lasciare uno stato incoerente: dopo l’update devono essere verificati build, PSConfig, funzionalità e uniformità di tutti i nodi.

CVE-2026-63520 trasforma il bypass in una RCE senza credenziali

Il bypass diventa molto più pericoloso quando viene concatenato con CVE-2026-63520, vulnerabilità valutata CVSS 8.1 che interessa i Business Connectivity Services di SharePoint. La falla permette a un utente autenticato di fornire una definizione controllata capace di istanziare tipi .NET non sicuri e raggiungere l’esecuzione di codice con i privilegi del service account utilizzato dal sito. Considerata isolatamente richiede quindi un’identità valida; CVE-2026-55040 elimina proprio questa barriera, permettendo all’attaccante esterno di impersonare l’utente necessario e raggiungere successivamente il percorso vulnerabile. Due vulnerabilità che singolarmente non vengono valutate CVSS 10 producono insieme una catena RCE pre-authentication, dimostrando i limiti di una prioritizzazione fondata soltanto sul punteggio numerico. Rapid7 ha scoperto entrambe le falle nel corso di una ricerca assistita da un agente AI e coordinata da esperti umani, mentre VulnCheck ha successivamente sviluppato un exploit completo, un version scanner, regole Suricata e Snort e file PCAP per aiutare i difensori a riconoscere il traffico. La catena era già emersa nell’analisi dedicata a CVE-2026-55040, CVE-2026-63520 e alla ricerca AI condotta su SharePoint. Per interromperla devono essere installati sia gli aggiornamenti di luglio per il bypass sia quelli di agosto per la RCE. SharePoint 2016 e 2019 hanno inoltre raggiunto la fine del supporto esteso, rendendo necessaria una migrazione verso Subscription Edition o una piattaforma supportata invece di considerare l’ultimo pacchetto come soluzione permanente.

CISA compromette due organizzazioni ma soltanto un SOC reagisce

Il nuovo advisory “A Tale of Two SOCs” della CISA offre un confronto particolarmente netto tra due organizzazioni appartenenti ai settori delle infrastrutture critiche. Il red team ha utilizzato tecniche simili in entrambi gli ambienti, partendo dal phishing e sfruttando configurazioni Active Directory deboli, tra cui Machine Account Quota lasciato al valore predefinito e template Active Directory Certificate Services configurati in modo insicuro. In entrambi i test gli operatori sono arrivati alla compromissione completa del dominio, a sistemi aziendali sensibili e a risorse cloud, ma seguendo percorsi difensivi molto diversi. Nell’organizzazione A il SOC non ha identificato né contenuto l’intrusione: il red team ha potuto muoversi lateralmente, accedere alle email degli stessi analisti e installare keylogger sui computer dei difensori senza provocare una risposta efficace. Nell’organizzazione B, invece, le workstation colpite dal phishing sono state isolate in un intervallo compreso tra due e venti minuti, interrompendo il comando e controllo e costringendo CISA a continuare la valutazione secondo un modello “assume breach”. Il rapporto ufficiale AA26-237A pubblicato dalla CISA mostra così che acquistare EDR, SIEM e strumenti cloud non equivale ad avere una capacità di risposta. Il primo SOC soffriva di regole non calibrate, falsi positivi, alert filtrati e responsabilità frammentate; il secondo disponeva di baseline migliori, procedure rapide e analisti autorizzati ad agire. Il problema non è quindi soltanto la visibilità tecnica, ma la capacità organizzativa di trasformare un segnale in contenimento prima che l’attaccante raggiunga dominio e cloud.

Kaltura espone file e server attraverso mwEmbedLoader.php

Kaltura affronta due vulnerabilità ancora prive di patch nel componente mwEmbed, distribuito anche come html5lib, utilizzato per il player HTML5 e l’integrazione dei contenuti video. CVE-2026-19913 consente la lettura arbitraria dei file, mentre CVE-2026-19912 può portare all’esecuzione remota di codice. Entrambe nascono dal comportamento dell’endpoint mwEmbedLoader.php, che accetta il parametro controllabile ServiceUrl, recupera dati dalla destinazione indicata e li passa alla funzione PHP unserialize() senza validare origine, schema o contenuto. Nel primo scenario l’attaccante può fornire un percorso locale con lo schema file://; quando la deserializzazione fallisce, i byte originali vengono restituiti nel messaggio di errore, permettendo di leggere configurazioni, credenziali del database, chiavi API e altri segreti accessibili all’utente del web server. Nel secondo scenario il parametro uiconf_id, inserito nel percorso della cache senza sanitizzazione, permette directory traversal e scrittura di un oggetto PHP controllato in una cartella esposta dal server web. Richiamando successivamente il file, l’attaccante ottiene esecuzione di codice senza autenticazione e senza token di sessione Kaltura. La Vulnerability Note VU#308749 del CERT/CC indica come interessate le versioni html5lib 2.45, 2.103 e precedenti, oltre agli altri rami 2.x che espongono l’endpoint. CERT/CC non è riuscito a coordinare la disclosure con Kaltura e non risulta disponibile una correzione ufficiale. In attesa del fix, gli amministratori devono disabilitare o limitare l’accesso esterno a mwEmbedLoader.php e applicare una allow-list rigorosa ai valori ammessi per ServiceUrl.

Ubiquiti corregge tre vulnerabilità di massima gravità

Ubiquiti ha pubblicato un nuovo pacchetto di sicurezza che comprende tre vulnerabilità con punteggio CVSS 10.0, tutte sfruttabili attraverso la rete con bassa complessità e senza interazione dell’utente. CVE-2026-77537 interessa UniFi Protect, la piattaforma che gestisce videosorveglianza e dispositivi fisici, e deriva da una validazione insufficiente degli input capace di permettere la compromissione dell’applicazione. CVE-2026-77550 colpisce UniFi OS e utilizza una CRLF injection per alterare l’elaborazione delle richieste e aggirare l’autenticazione sui dispositivi o sulle istanze vulnerabili. CVE-2026-77554 riguarda invece UniFi Talk: input appositamente costruiti possono raggiungere un percorso di esecuzione dei comandi e produrre command injection sul sistema sottostante. L’advisory ufficiale Security Advisory Bulletin 067 indica l’aggiornamento a UniFi Protect 7.2.105, UniFi Talk 5.3.2 e alle versioni corrette di UniFi OS Server, compresa la release 5.1.21. Ubiquiti non ha comunicato evidenze di sfruttamento precedente alla pubblicazione delle patch, ma l’assenza di conferme non riduce la priorità: controller UniFi, sistemi video e servizi VoIP possono occupare una posizione centrale nella rete e offrire accesso a apparati, telecamere, conversazioni e configurazioni. Il nuovo ciclo segue le vulnerabilità UniFi OS già corrette a maggio insieme alla ricerca automatizzata di Mythos AI, mostrando una superficie che richiede aggiornamenti continui e una separazione netta tra interfacce amministrative e reti non fidate.

Le priorità operative per SharePoint, Kaltura e UniFi

La priorità più immediata riguarda SharePoint Server esposti a Internet: gli amministratori devono verificare l’installazione completa degli aggiornamenti di luglio e agosto, eseguire PSConfig su ogni nodo, confrontare le build effettive e cercare autenticazioni anomale, token sospetti, richieste verso gli endpoint metadata e attività insolite dei service account. CVE-2026-55040 risulta sfruttata, mentre la disponibilità di una catena pubblica con CVE-2026-63520 aumenta il rischio di evoluzione verso compromissioni complete. Gli ambienti già esposti durante la finestra vulnerabile devono essere trattati come potenzialmente compromessi, senza presumere che l’installazione della patch elimini persistenza, account creati o credenziali sottratte. Il ripetersi degli attacchi rende necessario collegare questo intervento alle precedenti campagne nelle quali CISA aveva già inserito vulnerabilità SharePoint nel catalogo KEV. Per Kaltura, in assenza di correzione, la misura decisiva è rimuovere l’esposizione di mwEmbedLoader.php, limitare le sorgenti accettate e controllare cache, directory web e log alla ricerca di percorsi anomali. Per Ubiquiti occorre aggiornare immediatamente Protect, Talk e UniFi OS, restringere l’accesso alle console amministrative e verificare che nessuna interfaccia sia pubblicata direttamente su Internet. Il confronto CISA completa il quadro: le patch chiudono le vulnerabilità note, ma soltanto un SOC calibrato e autorizzato a contenere rapidamente può limitare una catena già entrata in attività operativa.