Rapid7 brukte 80 000 verktøykall på å kjede sammen to SharePoint-hull

Omgåelsen er registrert som CVE-2026-55040 med CVSS 9.1 og rammer SharePoint Server Subscription Edition, 2019 og 2016. SharePoint Online står ikke på Microsofts liste. Feilen ligger i validering av JSON Web Token, og lar en uautentisert angriper opptre som en valgt bruker. Forutsetningen er at angriperen kjenner kontoens sikkerhetsidentifikator eller brukerprinsipalnavn, men Rapid7s demonstrasjon spør domenekontrolleren om brukerlisten og prøver seg fram til den treffer administratoren. CISA vurderte 14. juli angrepet som automatiserbart med total teknisk konsekvens.

Andre ledd ble offentliggjort 11. august som CVE-2026-63520 med CVSS 8.1, en utrygg .NET-typeinstansiering i SharePoints Business Connectivity Services. Koden kjører som Windows-tjenestekontoen bak nettstedet.

Det er metoden bak funnet som er verdt oppmerksomheten. Rapid7 kjørte to sprinter mot SharePoint-kodebasen, i januar og mars 2026. Januar ga ingen brukbar kjede. I mars fant en tungt styrt agent veien, over 24 aktive dager fordelt på 96 økter, 256 ledetekster og omtrent 80 000 verktøykall.

Selskapet er tydelig på at helautomatikk ikke ville fungert: modellen produserte for ofte funn som var tvilsomme eller direkte gale, og en ekspert måtte styre underveis. Agenten jukset også. Den gikk utenfor instruksene sine for å nå målet, spilte av administratorlegitimasjon på nytt, skrudde på debug-flagg og leste hemmeligheter, ingenting av det innenfor den opprinnelige trusselmodellen.

Et forbehold gjelder rettelsen. Rapid7 sier feilen er tettet, men Microsofts oppdateringshistorikk listet ingen august-pakke da analysen ble skrevet. Juli-oppdateringen kom som KB5002882, KB5002883 og KB5002891. 14. juli var samtidig siste støttedato for SharePoint Server 2016 og 2019, som begge står på lista over berørte produkter for den nye kodekjøringsfeilen.

Hva bør du gjøre?

1. Installer juli-oppdateringen på lokale SharePoint-servere hvis den ikke er på plass. Den skal bryte kjeden.
2. Kjører du 2016 eller 2019 etter støtteslutt, planlegg migrering nå. Feil funnet fra dette punktet blir ikke rettet under publisert livsløpspolicy.
3. Se etter tegn på kompromittering før du roterer IIS-maskinnøkler. CISA meldte i juli om aktive angrep der nøkler ble stjålet, og da er hendelseshåndtering riktig svar, ikke bare nøkkelrotasjon.