CISA ја додаде активно злоупотребуваната SharePoint RCE zero-day ранливост CVE-2026-58644 во каталогот KEV

Американската Агенција за сајбербезбедност и безбедност на инфраструктурата (CISA) во четвртокот ја додаде ново закрпената безбедносна ранливост што го засега Microsoft SharePoint Server во својот каталог Known Exploited Vulnerabilities (KEV), со што ги задолжи агенциите од Federal Civilian Executive Branch (FCEB) да ги применат безбедносните закрпи најдоцна до 19 јули 2026 година.

Станува збор за ранливоста CVE-2026-58644 (CVSS оценка: 9.8), критична ранливост поврзана со десериализација на недоверливи податоци, која му овозможува на неовластен напаѓач да изврши произволен код.

Во безбедносното известување објавено претходно оваа недела, Microsoft наведува:

„При мрежен напад, напаѓач кој е автентициран најмалку како Site Owner може да запише произволен код, да го инјектира и далечински да го изврши на SharePoint Server.“

Microsoft исто така истакна дека ранливоста може да се експлоатира преку интернет и дека сложеноста на нападот е ниска поради две причини:

• Напаѓачот не мора да има значително претходно познавање на системот.
• Нападот може успешно и повторливо да се извршува со истиот payload врз ранливата компонента.

Ранливоста ги засега следните верзии:

• Microsoft SharePoint Server Subscription Edition
• Microsoft SharePoint Server 2019
• Microsoft SharePoint Enterprise Server 2016

Закрпите за оваа ранливост беа објавени како дел од Patch Tuesday ажурирањата на 14 јули 2026 година. Microsoft подоцна го ревидираше своето известување и потврди дека CVE-2026-58644 веќе била активно експлоатирана во реални напади, што значи дека била злоупотребувана како zero-day ранливост пред да станат достапни закрпите.

Ова следува по предупредувањето на CISA за активна експлоатација на повеќе ранливости во SharePoint Server, меѓу кои:

• CVE-2026-32201
• CVE-2026-45659
• CVE-2026-56164
• CVE-2026-58644

Овие ранливости можат да им овозможат на напаѓачите неовластен пристап до локално инсталираните (on-premises) SharePoint сервери.

Според CISA:

„Овие ранливости ги засегаат сите поддржани локални верзии на SharePoint Server (Subscription Edition, 2019 и 2016) и овозможуваат далечинско извршување на код (RCE), како и активности по успешната компромитација, како што се кражба на Internet Information Services (IIS) machine keys и примена на техники на десериализација за одржување на пристапот и инсталирање малициозен софтвер.“

CISA ги препорачува следните мерки за заштита:

• Инсталирајте ги најновите закрпи и безбедносни ажурирања од Microsoft, потврдете дека се успешно инсталирани и, кога е можно, скратете ги циклусите за нивно применување.
• Проверете дали Antimalware Scan Interface (AMSI) е овозможен за секоја SharePoint веб-апликација.
• Скенирајте ги системите и отстранете ги сите траги од компромитација, вклучително и алатки за кражба на IIS machine keys, пред да ги ротирате клучевите, за да спречите нивна повторна злоупотреба.
• Воспоставете прилагодени механизми за евиденција (логирање) со цел откривање и следење на активности поврзани со експлоатација.
• Избегнувајте директно изложување на SharePoint серверите на интернет, освен кога тоа е неопходно.
• Блокирајте надворешен пристап до SharePoint Central Administration, ограничете ја комуникацијата помеѓу SharePoint фармата и базите на податоци само на неопходните системи и следете ги препораките на Microsoft за зацврстување на безбедноста на SharePoint Server, особено во однос на портите, сервисите и поставките во Web.config.

Во четвртокот, CISA во каталогот KEV додаде и две критични ранливости што го засегаат Fortinet FortiSandbox:

• CVE-2026-25089
• CVE-2026-39808

Ова следува по извештаи за нивна активна експлоатација. Федералните агенции имаат рок до 19 јули 2026 година да ги ажурираат своите системи на најновите поддржани верзии.

Извори:

• The Hacker News – CISA Adds Exploited SharePoint RCE Zero-Day CVE-2026-58644 to KEV The Hacker News