CVE-2026-55040: wykorzystywana w atakach luka w uwierzytelnianiu SharePointa, czyli co musi zrobić firma

Amerykańska agencja cyberbezpieczeństwa CISA wpisała 18 sierpnia 2026 roku podatność CVE-2026-55040 do katalogu Known Exploited Vulnerabilities. Trafiają tam wyłącznie luki wykorzystywane w rzeczywistych atakach, więc wpis oznacza, że problem nie jest teoretyczny i dotyczy każdej organizacji używającej zagrożonego oprogramowania.

Z tekstu dowiesz się, na czym polega ta podatność, jak przebiega atak krok po kroku, jakie skutki biznesowe może mieć włamanie oraz jakie działania trzeba podjąć w pierwszej kolejności.

Co się stało: fakty o CVE-2026-55040

Wpis w katalogu CISA nosi nazwę Microsoft SharePoint Weak Authentication Vulnerability, czyli podatność typu słabe uwierzytelnianie w Microsoft SharePoint. Najważniejsze ustalenia zbiera poniższa tabela.

Ocena 9,1 pochodzi od producenta, ponieważ baza NVD nie wystawiła własnej oceny podstawowej. Według dokumentacji Microsoftu wektor ataku opisuje podatność prostą do wykorzystania: atak sieciowy, niska złożoność, brak wymaganych uprawnień i brak udziału użytkownika. Wpływ na poufność i integralność danych oceniono jako wysoki, a na dostępność jako żaden. Producent podaje też ocenę tymczasową 7,9, bo w chwili publikacji biuletynu nie potwierdzał kodu wykorzystującego lukę, a oficjalna poprawka była już dostępna.

Według dokumentacji Microsoftu podatne są trzy lokalne produkty. Dla każdego istnieje aktualizacja zabezpieczeń.

Chronologia jest krótka i pokazuje tempo zdarzeń.

Jak działa podatność i jak przebiega atak

SharePoint przypomina biurowiec, w którym portier sprawdza identyfikatory przed wpuszczeniem gościa do strefy dokumentów. Podatność to błąd w tej procedurze. Według opisu Microsoftu osoba bez identyfikatora potrafi wejść do środka, a potem przedstawić się jako konkretny pracownik i korzystać z jego uprawnień. Technicznie oznacza to, że nieuwierzytelniony napastnik omija mechanizm logowania przez sieć, nawiązuje anonimowe połączenie i może podszycć się pod wybranego użytkownika.

Przebieg ataku, ułożony z potwierdzonych elementów, wygląda następująco.

1. Atakujący znajduje serwer SharePoint osiągalny przez sieć, bo sam atak ma charakter sieciowy.
2. Wysyła spreparowane żądanie wykorzystujące słabość uwierzytelniania. Według CISA próby takie wykrywa sygnatura antywirusowa Exploit:Script/ToolPaneAuthBypass.A, która analizuje nagłówki żądania i działa dla wszystkich trzech zagrożonych produktów.
3. Uzyskuje anonimowy dostęp do serwera bez podawania loginu i hasła.
4. Podszywa się pod wybranego użytkownika i działa z jego uprawnieniami (oba ostatnie kroki według opisu Microsoftu).
5. Odczytuje pliki przechowywane na serwerze i modyfikuje dane.

Tomasz Kaczmarek

Mogę Ci jakoś pomóc?

Umów spotkanie +48 888 777 822

lub

biuro@uxu.pl

Atak ułatwia fakt, że narzędzia są publiczne. Baza NVD zawiera odnośnik oznaczony jako Exploit do publicznego repozytorium z kodem demonstracyjnym. Ocena SSVC z 13 lipca 2026 klasyfikuje wykorzystanie jako aktywne, możliwe do zautomatyzowania i o całkowitym wpływie technicznym (według rekordu NVD). Według danych FIRST z 23 sierpnia 2026 wskaźnik EPSS wynosi 0,05489 przy percentylu 0,9223, czyli podatność ma wyższy wynik niż około 92 procent wszystkich ocenianych luk.

Skutki dla firmy i skala zagrożenia

SharePoint służy w organizacjach do przechowywania i współdzielenia dokumentów: umów, ofert, dokumentacji kadrowej, materiałów projektowych. Ujawnienie plików oznacza wyciek właśnie tych treści. Modyfikacja danych to drugi, mniej widoczny problem, bo dokument może zostać zmieniony po cichu, a zespół będzie pracował na fałszywej wersji umowy albo specyfikacji.

Ostatni wiersz zasługuje na uwagę zarządu. Atak nie wyłącza systemu, nie szyfruje plików i nie wyświetla żądania okupu. Wpis w katalogu KEV oznacza użycie tej podatności w kampaniach ransomware jako nieznane. Włamanie może więc trwać tygodniami, a jedynym śladem będą pozornie zwykłe żądania w logach.

Między źródłami istnieje rozbieżność, którą trzeba znać. Biuletyn Microsoftu w rewizji z 14 lipca 2026, utrzymany jeszcze 21 sierpnia, deklaruje, że podatność nie jest wykorzystywana. Katalog CISA z 18 sierpnia stwierdza wprost, że jest. Praktyczny wniosek: status w biuletynie producenta nie zwalnia z działania, bo katalog KEV aktualizuje się dopiero po potwierdzeniu ataków. Według europejskiej bazy ENISA rekord EUVD-2026-44211 datuje początek wykorzystania na 18 sierpnia 2026.

Podatność nie działa w próżni. Według CISA należy do grupy aktywnie wykorzystywanych luk SharePointa prowadzących do nieautoryzowanego dostępu do lokalnych instancji, obok CVE-2026-32201, CVE-2026-45659, CVE-2026-56164, CVE-2026-58644 i CVE-2026-50522. Agencja wydała osobny alert o hartowaniu SharePointa, aktualizowany 18 sierpnia 2026. Podatność zgłosili producentowi trzej badacze: Stephen Fewer z Rapid7, Chumy Tsai z CyCraft Technology oraz badacz występujący pod nazwą khoadha (według podziękowań w biuletynie Microsoftu).

Co zrobić teraz: działania i pytania kontrolne

Pierwsza kolejność to instalacja aktualizacji z tabeli wersji. Kolejne kroki pochodzą z zaleceń hartujących CISA.

Jedna przestroga techniczna. Według dokumentacji Microsoftu lipcowa aktualizacja dodaje kontrole walidacji tokenu aktora, a flaga farmy DisableActorTokenAudienceValidation wyłącza tę dodatkową warstwę ochronną. Flagi nie wolno traktować jako zamiennika poprawki.

Pytania, które warto zadać zespołowi IT jeszcze dziś.

1. Czy w firmie działa lokalny SharePoint Server 2016, 2019 albo Subscription Edition?
2. Jaki build ma serwer i czy jest niższy niż poprawione wersje z tabeli?
3. Czy serwer jest osiągalny z internetu, a jeśli tak, czy stoi za proxy wymagającym uwierzytelnienia?
4. Czy integracja AMSI działa w trybie Full Mode dla wszystkich aplikacji webowych?
5. Czy logi z ostatnich tygodni sprawdzono pod kątem sygnatury ToolPaneAuthBypass?
6. Kto odpowiada za ustalenie, czy do włamania doszło przed instalacją poprawki?

Decyzja należy do kierownictwa. Podatność z oceną 9,1, publicznie dostępnym kodem demonstracyjnym i potwierdzonym wykorzystaniem w atakach to nie sprawa na kolejne okno serwisowe. CISA wyznaczyła agencjom federalnym termin 21 sierpnia 2026, trzy dni po wpisie do katalogu, w ramach dyrektywy BOD 26-04 z 10 czerwca 2026. Firmy prywatne tej dyrektywie nie podlegają, ale atakujący nie sprawdzają, kogo ona obowiązuje.

• alerty
• ransomware
• sieci
• cyberbezpieczeństwo
• licencje

Paweł Niedźwiecki

Mogę Ci jakoś pomóc?

Umów spotkanie +48 888 777 822 lub biuro@uxu.pl

Udostępnij

Twitter LinkedIn Facebook Kopiuj link