- Aktywne wykorzystywanie luk RCE, takich jak ToolShell i CVE-2025-53770, które umożliwiają całkowitą kontrolę serwera bez uwierzytelniania.
- Skoordynowane ataki chińskich grup państwowych na agencje rządowe i globalne firmy.
- Wysokie ryzyko w konfiguracjach hybrydowych, które może zagrozić zarówno środowisku lokalnemu, jak i ekosystemowi Microsoft 365.
Jeśli zarządzasz infrastrukturą korporacyjną, wiesz, że utrzymanie serwerów Microsoft pod kontrolą to nie lada wyzwanie. Ostatnio SharePoint Server stał się głównym celem ataków hakerskich, co jasno pokazuje, że bezkrytyczne zaufanie lokalnej infrastrukturze może być ryzykowne, jeśli nie masz aktualnych poprawek.
To, co zaczęło się jako kilka odosobnionych usterek, przerodziło się w istny tor przeszkód podatności, od błędów deserializacji danych po luki w zabezpieczeniach umożliwiające kradzież tożsamości. Sytuacja staje się poważna, ponieważ wiele z tych luk zostało wykorzystanych przez podmioty państwowe, zwłaszcza grupy powiązane z Chinami, do infiltracji intranetów agencji rządowych i firm na całym świecie bez wiedzy kogokolwiek.
Zjawisko ToolShell i luki w zdalnym wykonywaniu
Jednym z największych problemów była luka bezpieczeństwa znana jako ToolShell . Ujawniono ją podczas konkursu Pwn2Own, gdzie odkryto, że SharePoint ma poważną lukę umożliwiającą zdalne wykonanie kodu (RCE) . Chociaż Microsoft próbował udostępnić szybką poprawkę, rozwiązanie nie było w pełni skuteczne, co umożliwiło pojawienie się wariantów takich jak CVE-2025-53770.
Ta luka jest szczególnie niebezpieczna, ponieważ pozwala atakującemu, nawet bez danych uwierzytelniających, przejąć pełną kontrolę nad serwerem za pośrednictwem sieci. Najbardziej niepokojące jest to, że nawet po zastosowaniu aktualizacji po ataku, intruzi często pozostawiają furtkę (tzw. backdoor) wykorzystując klucz maszynowy ASP.NET, pozwalając im swobodnie poruszać się po systemie, jakby byli jego właścicielami.
- CVE-2025-53770: Krytyczna wada CVSS 9.8 umożliwiająca RCE poprzez deserializację niezaufanych danych.
- CVE-2026-20963: Kolejna krytyczna luka w zabezpieczeniach, która umożliwia całkowite przejęcie kontroli nad serwerem i wdrożenie oprogramowania ransomware.
- CVE-2026-45659: Istotna luka w zabezpieczeniach, dzięki której uwierzytelnieni użytkownicy z minimalnymi uprawnieniami mogą wykonywać dowolny kod.
Celowane ataki i rola podmiotów państwowych
Nie mówimy tu o znudzonych dzieciach w swoich pokojach, ale o zorganizowanych grupach takich jak Linen Typhoon, Violet Typhoon i Storm-2603 . Grupy te wykorzystywały luki w zabezpieczeniach programu SharePoint do prowadzenia szpiegostwa przemysłowego i kradzieży adresów IP. Posunęły się nawet do zainstalowania ransomware Warlock , wykorzystując zasady grupy Active Directory.
Lista ofiar jest przerażająca, a wśród nich znajdują się Departament Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych (DHS) i Narodowe Instytuty Zdrowia (NIH). Jednym ze szczegółów, który wywołał wiele dyskusji, jest podejrzenie, że program MAPP firmy Microsoft mógł wcześniej ujawnić informacje o poprawkach, dając hakerom przewagę konkurencyjną w przygotowywaniu ataków.
Kradzież tożsamości i inne krytyczne awarie
Nie chodzi tylko o wykonywanie kodu; luka CVE-2026-32201 pokazała, że podszywanie się pod użytkownika (spoofing) nadal stanowi problem. Ta luka, spowodowana nieprawidłową walidacją danych wejściowych, umożliwia nieuwierzytelnionej osobie dostęp do poufnych informacji i manipulowanie danymi. Chociaż jej wpływ na dostępność jest niewielki, stanowi ona idealny punkt wejścia do ruchu bocznego w sieci korporacyjnej.
Co więcej, nie możemy zapomnieć o biuletynach takich jak MS11-074 , które jakiś czas temu ostrzegały przed problemami z uwierzytelnianiem i błędami w Kreatorze konfiguracji produktu. Użytkownicy starszych wersji programu Windows SharePoint Services narażeni są na zagrożenia, które powinny już zostać rozwiązane, ale wciąż występują w przestarzałych środowiskach.
Efekt domina: SharePoint i Exchange Server
Chaos nie ograniczył się do programu SharePoint. Wykryto bliskie powiązanie z lukami w programie Exchange Server , zwłaszcza w konfiguracjach hybrydowych. Luka CVE-2025-53786 umożliwiła atakującym z uprawnieniami administratora na serwerze lokalnym włamanie się i przejęcie kontroli nad środowiskiem Microsoft 365.
Wiele osób uważa, że posiadanie serwera „w domu” jest bezpieczniejsze, ale w rzeczywistości powierzchnia ataku jest znacznie większa. O ile SharePoint Online jest chroniony przez zespoły ekspertów ds. chmury, wersje lokalne są całkowicie zależne od administratora IT, który pamięta o zainstalowaniu poprawki w piątkowe popołudnie.
Jak chronić infrastrukturę i ograniczać ryzyko
Aby uniknąć rozgłosu z powodu cyberataku, priorytetem jest instalacja aktualizacji zabezpieczeń natychmiast po ich udostępnieniu. Jeśli nie można od razu zainstalować aktualizacji, istnieją pewne obejścia, które mogą pomóc, takie jak włączenie integracji AMSI i uruchomienie programu antywirusowego Microsoft Defender na wszystkich węzłach serwera.
Kluczowe jest również ograniczenie dostępu do serwerów SharePoint, zapobiegając ich bezpośredniemu narażeniu na dostęp do internetu. Korzystanie z rozwiązań SASE lub odwrotnych serwerów proxy z funkcją jednokrotnego logowania (SSO) może zadecydować o tym, czy dzień będzie spokojny, czy kryzysem bezpieczeństwa. Podobnie, monitorowanie podejrzanych żądań POST do plików takich jak /ToolPane.aspx jest kluczowe w wykrywaniu prób wykorzystania luk w zabezpieczeniach ToolShell.
Współczesne bezpieczeństwo wymaga, abyśmy przestali traktować przerwy konserwacyjne jako coś świętego i zaczęli traktować je jak nagłe przypadki medyczne. Migracja do chmury wydaje się najrozsądniejszym rozwiązaniem, ponieważ eliminuje obciążenie związane z zarządzaniem krytycznymi poprawkami i zmniejsza narażenie na ataki deserializacji i RCE, które są plagą lokalnych wersji SharePoint i Exchange.
