Luka w SharePoint Server (CVE-2025-49706) pozwala podszyć się pod użytkownika, a w łańcuchu ToolShell przejąć serwer. CISA potwierdza ataki i ransomware. Zainstaluj aktualizacje z 20 lipca 2025 i zmień klucze maszynowe.
Ten alert jest dla zarządu, CTO i CFO firm, które utrzymują SharePoint na własnym serwerze (intranet, obieg dokumentów, portale działów). Werdykt: jeśli SharePoint Server 2016, 2019 lub Subscription Edition nie ma aktualizacji z 20 lipca 2025 roku lub nowszych, zaktualizuj go dziś, zmień klucze maszynowe ASP.NET i sprawdź ślady włamania, bo ta luka była częścią łańcucha ataków ToolShell, zakończonych m.in. ransomware Warlock.
Amerykańska agencja CISA 22 lipca 2025 roku dopisała podatność CVE-2025-49706 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach, i dała jeden dzień na naprawę. Błąd w SharePoint instalowanym na własnym serwerze pozwala podszyć się pod zalogowanego użytkownika i zdobyć żeton uwierzytelniający. Sam w sobie ma ocenę średnią, ale w atakach łączono go z luką CVE-2025-49704, która pozwala wykonać kod na serwerze. Razem dawały pełne przejęcie SharePointa bez hasła.
Lipcowa poprawka z 8 lipca 2025 roku nie wystarcza: powstało jej obejście (CVE-2025-53771), a aktualizacja z 20 lipca 2025 roku daje mocniejszą ochronę. SharePoint Online w Microsoft 365 nie jest objęty tą luką. Termin CISA minął 23 lipca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-49706 (obejście poprawki: CVE-2025-53771; łańcuch z CVE-2025-49704, obejście: CVE-2025-53770) |
Data dodania do CISA KEV | 2025-07-22 |
Termin naprawy wg CISA | 2025-07-23 (1 dzień od wpisu) |
Produkt | Microsoft SharePoint Server instalowany lokalnie (on-premises). SharePoint Online w Microsoft 365 nie jest podatny |
Wersje zagrożone | SharePoint Enterprise Server 2016, SharePoint Server 2019, SharePoint Server Subscription Edition bez aktualizacji. CISA: SharePoint Server 2013 i starsze są wycofane ze wsparcia i powinny zostać odłączone od internetu |
Wersje bezpieczne | Pierwsza poprawka (8 lipca 2025): 2016: 16.0.5508.1000 (KB5002744); 2019: 16.0.10417.20027 (KB5002741); Subscription Edition: 16.0.18526.20424 (KB5002751). Mocniejsza ochrona (CVE-2025-53771, 20 lipca 2025): 2016: 16.0.5513.1001 (KB5002760 i KB5002759); 2019: 16.0.10417.20037 (KB5002754 i KB5002753); Subscription Edition: 16.0.18526.20508 (KB5002768). Lub nowsze |
Typ podatności | Niewłaściwe uwierzytelnienie umożliwiające podszycie się przez sieć; CWE-287 |
Ocena CVSS | Microsoft: 6.5 (CVSS 3.1, ŚREDNIA), atak przez sieć, bez uprawnień i bez udziału użytkownika, niski wpływ na poufność i integralność. W łańcuchu z CVE-2025-49704 skutek to pełne przejęcie serwera |
Biuletyn Microsoft jest wewnętrznie niespójny: opis mówi o dużej utracie poufności, wektor o niskiej, a pole „wykorzystywana” nadal wskazuje „nie”. Decyzję warto opierać na wpisie w KEV i alercie CISA.
Wyobraź sobie biurowiec, w którym portier sprawdza dowód osobisty tylko raz, przy wejściu, a potem przez cały dzień patrzy wyłącznie na plakietkę gościa. Ktoś odkrył, że plakietkę da się podejrzeć i podrobić bez pokazywania dowodu. Sama plakietka otwiera tylko korytarze. Ale w piwnicy jest drugi problem: każdy, kto ma plakietkę, może wydać polecenie konserwatorowi, a konserwator ma klucze do wszystkiego.
Tak działał łańcuch ToolShell. CVE-2025-49706 to podrobiona plakietka: serwer SharePoint uznaje napastnika za zalogowanego użytkownika. CVE-2025-49704 to polecenie dla konserwatora: zalogowany użytkownik może uruchomić kod na serwerze. Połączenie obu dawało pełny dostęp do treści SharePointa, plików i konfiguracji, a napastnicy wykradali klucze maszynowe, które pozwalały wracać nawet po aktualizacji.
💡 SharePoint Server to platforma Microsoft do intranetu i dokumentów instalowana na własnym serwerze. Żeton uwierzytelniający to cyfrowa „plakietka”, którą serwer uznaje za dowód zalogowania. ToolShell to publiczna nazwa łańcucha ataków na dwie luki SharePointa. Klucze maszynowe ASP.NET (machine keys) to sekrety, którymi serwer podpisuje dane; ich kradzież pozwala podrabiać dostęp także po aktualizacji. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba wysyła żądanie do SharePointa | Serwer wymaga zalogowania | Serwer uznaje ją za zalogowanego użytkownika |
Uruchomienie kodu na serwerze | Niemożliwe bez uprawnień | Możliwe w łańcuchu z CVE-2025-49704 |
Poprawka z 8 lipca 2025 roku | Sprawa zamknięta | Niewystarczająca, istnieje obejście |
Aktualizacja bez zmiany kluczy maszynowych | Zamyka lukę | Skradzione klucze nadal działają |
Ocena 6.5 w kolejce poprawek | Czeka na najbliższe okno serwisowe | CISA dała 1 dzień |
źródło: Pexels, Tima MiroshnichenkoPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie CISA łańcucha ToolShell. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu w Twojej firmie. Atak dotyczy serwerów SharePoint dostępnych z internetu i nie wymaga konta. CISA opisuje wdrażanie powłok webowych, bibliotek .dll kradnących klucze maszynowe, a w końcu szyfrowanie plików ransomware Warlock.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie serwerów SharePoint dostępnych z internetu | Lista celów |
2. Podszycie się | T+sekundy | Żądanie POST do | Serwer traktuje napastnika jak zalogowanego |
3. Wykonanie kodu | T+sekundy | Wykorzystanie CVE-2025-49704 | Kod napastnika działa na serwerze |
4. Kradzież kluczy i utrwalenie | T+minuty | Wgranie powłoki webowej lub biblioteki .dll, kradzież kluczy maszynowych ASP.NET | Dostęp, który przetrwa samą aktualizację |
5. Kradzież danych | T+godziny do dni | Dostęp do plików, list, konfiguracji i dalszych systemów | Wyciek dokumentów firmy |
6. Ransomware | T+dni | Szyfrowanie plików i dystrybucja ransomware Warlock (wg CISA) | Przestój i żądanie okupu |
Mogę Ci jakoś pomóc?
SharePoint zwykle przechowuje najważniejsze dokumenty firmy i jest połączony z Active Directory. Ocena 6.5 opisuje pojedynczą lukę, ale ataki używały jej w łańcuchu, który dawał pełne przejęcie serwera bez hasła. CISA potwierdza użycie w kampaniach ransomware i dała tylko jeden dzień na naprawę.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowany intranet i obieg dokumentów, zatrzymane procesy oparte na SharePoint | Dni | 50 tys. do 500 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek umów, dokumentów kadrowych, danych klientów z bibliotek SharePointa | Godziny | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, odbudowa serwerów, zmiana kluczy i haseł, zewnętrzni specjaliści | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Ujawnienie poufnych dokumentów, utrata zaufania klientów i partnerów | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z SharePoint Server
bez aktualizacji z 20 lipca 2025, dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: sama luka ma ocenę średnią, ale w łańcuchu ToolShell prowadzi do pełnego przejęcia serwera, a prawdopodobieństwo jest maksymalne (potwierdzone ataki i ransomware, EPSS około 99,9%); serwer dostępny tylko z sieci wewnętrznej ma niższe, choć nie zerowe, ryzyko.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić kompilację każdego serwera SharePoint i porównać z progami z 20 lipca 2025 roku (sekcja 1) | Dziś | Administrator SharePoint |
2 | 🔴 NATYCHMIAST | Zainstalować brakujące aktualizacje; serwery SharePoint 2013 i starsze odłączyć od internetu | Dziś | Administrator SharePoint |
3 | 🔴 NATYCHMIAST | Zmienić klucze maszynowe ASP.NET przed i po aktualizacji, a następnie zrestartować IIS poleceniem iisreset.exe (zalecenie CISA) | Dziś | Administrator SharePoint |
4 | 🟠 PILNIE | Włączyć AMSI (Antimalware Scan Interface) w SharePoint i antywirus na wszystkich serwerach SharePoint | Do 2 dni | Administrator SharePoint |
5 | 🟠 PILNIE | Przeszukać logi pod kątem żądań POST do | Do 3 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Sprawdzić pliki applicationHost.config i web.config pod kątem obcych modułów oraz szukać nieznanych plików .aspx, .exe i .dll | Do 3 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Ograniczyć uprawnienia administracyjne i do układu stron, wdrożyć ochronę EDR na serwerach | Do 30 dni | CTO |
Microsoft wydał poprawki dla SharePoint 2016, 2019 i Subscription Edition. CISA i Microsoft wskazują miary na czas przed instalacją oraz kroki, bez których sama aktualizacja nie wystarcza. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Włączenie AMSI w SharePoint w trybie pełnym i antywirusa na serwerach (zalecenie CISA i Microsoft) | Średnia do wysokiej wobec znanych ataków | Średnia |
Odłączenie serwera od internetu, jeśli AMSI nie da się włączyć, lub dostęp tylko przez VPN albo bramkę z logowaniem (zalecenie CISA) | Wysoka wobec ataków z zewnątrz | Średnia, utrudnia pracę mobilną |
Zmiana kluczy maszynowych ASP.NET i restart IIS (zalecenie CISA) | Wysoka wobec powrotu napastnika ze skradzionymi kluczami | Średnia |
Reguły WAF lub IPS blokujące wzorce ataku | Średnia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Kompilacja SharePointa | Tylko poprawka z 8 lipca lub starsza | Aktualizacja z 20 lipca 2025 roku lub nowsza |
Klucze maszynowe ASP.NET | Te same co przed atakami | Zmienione przed i po aktualizacji |
Dostęp z internetu | Otwarty dla każdego | Przez VPN lub bramkę z logowaniem |
Wiedza o włamaniu | Brak | Przejrzane logi, pliki konfiguracyjne i nieznane pliki |
Zgodność z wymogami | Prawie 14 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA), w łańcuchu z CVE-2025-49704 („ToolShell”). Biuletyn Microsoft nadal ma „nie” w polu wykorzystania |
Grupy przestępcze | W pobranych źródłach brak zweryfikowanych nazw grup; CISA opisuje zmieniające się techniki napastników |
Kampanie ransomware | TAK (CISA KEV: Known). CISA: szyfrowanie plików i dystrybucja ransomware Warlock na przejętych serwerach |
Ocena CVSS | 6.5 ŚREDNIA wg Microsoft (CVSS 3.1); ocena CISA: wpływ techniczny częściowy |
PoC dostępny publicznie? | Microsoft w metryce czasowej oznacza istnienie działającego kodu ataku; CISA opublikowała wskaźniki i analizę złośliwego oprogramowania |
Liczba atakowanych firm | Brak publicznych informacji w pobranych źródłach |
Analiza złośliwego oprogramowania | CISA MAR-251132.c1.v1 (6 sierpnia 2025 roku): 6 plików związanych z atakami |
Prognoza EPSS | 0,99865 (ok. 99,9%), górne 0,04% wszystkich podatności (wg analizy źródłowej) |
To dobry przykład, że ocena punktowa pojedynczej luki nie mówi wszystkiego:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-49706
CVSS 3.1 (Microsoft) 6.5/10 █████████████░░░░░░░ ŚREDNIA
EPSS (prawdopodob.) ~99,9% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ Warlock
Termin CISA 1 dzień ████████████████████ tryb natychmiastowy 2025-07-08 Microsoft publikuje poprawki (CVE-2025-49706, CVE-2025-49704)
2025-07-18 Wg CISA okres wzmożonej aktywności z adresów IP napastników
2025-07-19 Microsoft publikuje CVE-2025-53770 (obejście poprawki)
2025-07-20 Aktualizacje z mocniejszą ochroną (CVE-2025-53771, CVE-2025-53770)
2025-07-20 CISA dodaje CVE-2025-53770 do KEV
2025-07-22 CISA koryguje alert i dodaje CVE-2025-49706 i 49704 do KEV
2025-07-23 Termin naprawy wg CISA dla agencji federalnych
2025-07-24 CISA: informacje o wdrażaniu ransomware
2025-08-06 CISA publikuje analizę złośliwego oprogramowania MAR-251132
... prawie 14 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Instrukcje CISA z krokami ochrony i wskaźnikami ataku: cisa.gov: Microsoft Releases Guidance on Exploitation of SharePoint Vulnerabilities . Wpis Microsoft: msrc.microsoft.com: CVE-2025-49706 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-49706 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma ma SharePoint na własnym serwerze (a nie tylko SharePoint Online) | CTO | DZISIAJ |
2 | Uzyskać kompilację każdego serwera i potwierdzenie instalacji aktualizacji z 20 lipca 2025 roku | CTO | DZISIAJ |
3 | Zatwierdzić zmianę kluczy maszynowych i restart IIS | CTO | DZISIAJ |
4 | Zatwierdzić ograniczenie dostępu z internetu do VPN lub bramki z logowaniem | CTO | DO JUTRA |
5 | Zlecić przegląd logów i plików pod kątem wskaźników ToolShell | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową i ewentualną migrację do SharePoint Online | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące ransomware | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie wersje SharePoint Server mamy i jakie mają kompilacje? | [wersja] | 🔴 |
2 | Czy zainstalowano aktualizacje z 20 lipca 2025 roku (KB5002760/5002754/5002768 lub nowsze)? | TAK / NIE | 🔴 |
3 | Czy po aktualizacji zmieniono klucze maszynowe ASP.NET i zrestartowano IIS? | TAK / NIE | 🔴 |
4 | Czy serwer SharePoint jest dostępny z internetu bez VPN? | TAK / NIE | 🔴 |
5 | Czy w logach są żądania do ToolPane.aspx z Referer SignOut.aspx? | TAK / NIE | 🟠 |
6 | Czy AMSI i antywirus są włączone na serwerach SharePoint? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio przeglądano uprawnienia administracyjne w SharePoint? | [data] | 🟡 |
CVE-2025-49706 ma średnią ocenę, ale w łańcuchu ToolShell pozwalała przejąć SharePoint Server bez hasła, a CISA potwierdza ataki zakończone ransomware Warlock. Samo zainstalowanie poprawki z lipca to za mało: potrzebna jest aktualizacja z 20 lipca 2025 roku, zmiana kluczy maszynowych ASP.NET z restartem IIS i przegląd serwera pod kątem śladów włamania.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.