CISA: Ранливоста за далечинско извршување код во Microsoft SharePoint веќе активно се злоупотребува

Американската Агенција за сајбер-безбедност и безбедност на инфраструктурата (CISA) во средата предупреди дека напаѓачите веќе активно ја експлоатираат сериозната ранливост за далечинско извршување на код (Remote Code Execution – RCE) во Microsoft SharePoint.

Ранливоста, означена како CVE-2026-45659, произлегува од слабост поврзана со десериализација на недоверливи податоци (deserialization of untrusted data). Таа им овозможува на напаѓачи со ниски привилегии да извршат произволен код на непоправени (неажурирани) SharePoint сервери преку напади со мала сложеност, без потреба од каква било интеракција од страна на корисникот.

„Секој автентициран напаѓач може да ја активира оваа ранливост. Не се потребни администраторски или други зголемени привилегии. При мрежен напад, автентициран напаѓач кој има најмалку дозволи на ниво Site Member (PR:L) може далечински да изврши код на SharePoint Server,“ објаснува Microsoft.

Компанијата дополнително наведува дека:

„Векторот на напад е Network (AV:N), бидејќи ранливоста може да се експлоатира од далечина, вклучително и преку интернет. Сложеноста на нападот е Low (AC:L), бидејќи напаѓачот не мора да има значително претходно познавање на системот и може повеќепати успешно да го искористи експлоитот против ранливата компонента.“

Microsoft ги објави безбедносните ажурирања за:

• SharePoint Enterprise Server 2016,
• SharePoint Server 2019 и
• SharePoint Server Subscription Edition

на 21 мај, со цел да ја отстрани оваа ранливост. Компанијата соопшти дека CVE-2026-45659 по грешка не бил вклучен во официјалниот пакет Security Updates за мај 2026 година.

Во меѓувреме, организацијата Shadowserver, која ја следи безбедноста на интернет-инфраструктурата, моментално евидентира повеќе од 10.000 SharePoint сервери кои се јавно достапни преку интернет. Сепак, засега нема информации колку од овие системи веќе се ажурирани и заштитени од тековните напади што ја искористуваат ранливоста CVE-2026-45659.

Со безбедносните ажурирања објавени за време на Patch Tuesday во април 2026 година, Microsoft отстрани уште една ранливост во SharePoint која веќе била злоупотребувана во zero-day напади.

Во средата, CISA ја додаде оваа ранливост во својот Каталог на познати активно експлоатирани ранливости (Known Exploited Vulnerabilities – KEV) и им нареди на агенциите од Федералната цивилна извршна власт на САД (Federal Civilian Executive Branch – FCEB) да ги обезбедат своите сервери најдоцна до сабота, во согласност со Обврзувачката оперативна директива (Binding Operational Directive – BOD) 26-04.

BOD 26-04, која беше издадена минатиот месец, бара федералните агенции во САД да им дадат приоритет на безбедносните ажурирања врз основа на неколку критериуми:

• дали ранливоста е вклучена во KEV каталогот на CISA;
• дали нејзината експлоатација може автоматски да се извршува во напади од голем обем;
• дали засегнатиот систем е јавно достапен преку интернет;
• дали успешната експлоатација му овозможува на напаѓачот делумна или целосна контрола врз компромитираниот уред.

„Овој тип на ранливости претставува чест вектор на напад што го користат злонамерните сајбер-актери и носи значителен ризик за федералните институции,“ предупреди CISA.

Агенцијата дополнително препорачува организациите:

• да ги следат насоките од BOD 26-04 за облачните услуги;
• или да престанат да го користат производот доколку не постојат достапни мерки за ублажување на ризикот.

„Одговорност на секоја организација е да процени дали нејзините системи се достапни преку интернет и да обезбеди усогласеност со барањата за инсталирање безбедносни закрпи пропишани со BOD 26-04,“ наведува CISA.

Од 2021 година, CISA има евидентирано 11 ранливости во Microsoft SharePoint кои биле активно злоупотребувани во реални напади, при што седум од нив биле искористени и во ransomware кампањи.

Извори:

• Bleeping Computer – CISA: Microsoft SharePoint RCE flaw now actively exploited Bleeping Computer