Luka w SharePoint Server 2016, 2019 i Subscription Edition pozwala bez konta wykonać kod na serwerze. Microsoft pisze o braku ataków, CISA je potwierdza. Zainstaluj styczniowe aktualizacje dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które trzymają dokumenty na własnym serwerze Microsoft SharePoint (2016, 2019 lub Subscription Edition). Werdykt: jeśli serwer nie ma styczniowych aktualizacji KB5002828, KB5002825 lub KB5002822, zainstaluj je dziś, bo CISA potwierdza wykorzystanie tej luki w atakach, mimo że Microsoft wciąż pisze o braku wykorzystania.
Amerykańska agencja CISA 18 marca 2026 roku dopisała podatność CVE-2026-20963 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy serwerowych wersji Microsoft SharePoint instalowanych w firmie i pozwala napastnikowi przez sieć, bez konta i hasła, wykonać własny kod na serwerze z dokumentami firmy.
CISA dała agencjom federalnym tylko trzy dni na naprawę, do 21 marca 2026 roku. Microsoft wydał poprawki już 13 stycznia 2026 roku, ale w swoich danych nadal oznacza lukę jako niewykorzystywaną i nadaje jej wagę „ważna”, a nie „krytyczna”. Firma, która ustala kolejność aktualizacji wyłącznie po etykiecie producenta, mogła odłożyć tę poprawkę.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-20963 |
Data dodania do CISA KEV | 2026-03-18 |
Termin naprawy wg CISA | 2026-03-21 (3 dni od wpisu) |
Produkt | Microsoft SharePoint: Enterprise Server 2016, Server 2019, Server Subscription Edition (x64, instalacje w firmie; usługi chmurowe nie są wymienione) |
Wersje zagrożone | SharePoint 2016 poniżej kompilacji 16.0.5535.1001; SharePoint 2019 poniżej 16.0.10417.20083; Subscription Edition poniżej 16.0.19127.20442 |
Wersje bezpieczne | SharePoint 2016: 16.0.5535.1001 (KB5002828). SharePoint 2019: 16.0.10417.20083 (KB5002825). Subscription Edition: 16.0.19127.20442 (KB5002822). Każda późniejsza aktualizacja zbiorcza tej samej linii również zawiera poprawkę |
Typ podatności | Zdalne wykonanie kodu przez deserializację niezaufanych danych; CWE-502 |
Ocena CVSS | Microsoft: 9.8 bazowa (CVSS 3.1), 8.5 po korekcie czasowej, waga producenta „ważna”. NVD nie wystawiła własnej oceny i przejęła ocenę Microsoftu. Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Uwaga przy sprawdzaniu wersji: wszystkie numery zaczynają się od 16.0, ale dalsze człony należą do różnych produktów i nie wolno ich porównywać między liniami. Aktualizacja nie instaluje się sama, administrator musi ją pobrać i nałożyć.
Wyobraź sobie, że Twoja firma przyjmuje od dostawców meble do samodzielnego złożenia, a pracownik magazynu zawsze wykonuje kroki z dołączonej instrukcji. Nikt nie sprawdza, kto napisał instrukcję. Jeśli przestępca podrzuci paczkę z instrukcją, w której krok siódmy brzmi „otwórz sejf i wynieś zawartość na rampę”, pracownik wykona i ten krok, bo tak nauczono go pracować.
Tak działa deserializacja niezaufanych danych w SharePoint. Serwer dostaje z sieci opis obiektu, który ma zbudować w pamięci, i wykonuje zawarte w nim kroki. Jeśli nie sprawdza, skąd opis pochodzi, napastnik może dopisać krok „uruchom mój program”. Stawka jest wysoka, bo SharePoint w małej i średniej firmie trzyma umowy, oferty, dokumentację projektów i procedury, do których zwykle mają dostęp wszyscy pracownicy.
💡 SharePoint Server to instalowany w firmie serwer do przechowywania i współdzielenia dokumentów. Deserializacja to odtwarzanie obiektu w pamięci programu na podstawie przesłanego opisu. Kompilacja (build) to dokładny numer wersji oprogramowania. KB to numer artykułu i paczki aktualizacji Microsoftu. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś z sieci wysyła dane do serwera SharePoint | Bez konta nie ma dostępu do dokumentów | Może wykonać własny kod na serwerze |
Dokumenty firmy (umowy, oferty, procedury) | Dostępne według uprawnień pracowników | Dostępne dla napastnika w całości |
Etykieta ważności w biuletynie Microsoftu | Pomaga ustalić kolejność aktualizacji | „Ważna” zamiast „krytyczna” może uśpić czujność |
Obejście w konfiguracji | Czasem można wyłączyć podatną funkcję | Brak obejścia, jedyną naprawą jest aktualizacja |
Serwer widoczny z internetu | Wygoda pracy z domu | Każdy skaner w internecie może spróbować ataku |
źródło: Pexels, Athena SandriniPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Microsoft nie opublikował, który element SharePoint przyjmuje niebezpieczne dane. Atak nie wymaga konta, więc najbardziej narażone są serwery dostępne z internetu; w sieci wewnętrznej może go przeprowadzić ktoś, kto już dostał się do firmy.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie serwerów SharePoint dostępnych z internetu i ustalanie ich wersji | Lista celów bez styczniowych poprawek |
2. Wysłanie spreparowanych danych | T+5 do 30 min | Przesłanie złośliwego opisu obiektu do podatnego serwera | Wykonanie kodu napastnika na serwerze |
3. Utrwalenie | T+30 do 60 min | Umieszczenie na serwerze ukrytego narzędzia do powrotu (np. web shell) | Stały dostęp mimo późniejszej aktualizacji |
4. Kradzież dokumentów | T+1 godz. do 3 dni | Kopiowanie bibliotek dokumentów, list, danych kont | Umowy i dane klientów poza firmą |
5. Ruch w sieci | T+1 do 14 dni | Wykorzystanie serwera i zdobytych danych do wejścia na inne systemy | Szerszy dostęp w firmie |
6. Szantaż lub sprzedaż | T+2 do 6 tygodni | Groźba publikacji dokumentów, ewentualne szyfrowanie | Żądanie zapłaty, przestój |
Mogę Ci jakoś pomóc?
SharePoint to często „dysk firmowy” całej organizacji. Przejęcie takiego serwera daje napastnikowi od razu zrozumiały, cenny materiał: umowy, cenniki, dane kadrowe i dokumentację. Brak obejścia oznacza, że jedyna realna decyzja to aktualizacja.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Niedostępne dokumenty i przepływy pracy, konieczność odbudowy serwera | Godziny do dni | 30 tys. do 300 tys. PLN (przestój, odbudowa, praca zespołu) |
Bezpieczeństwo danych | Wyciek umów, ofert, danych kadrowych i danych klientów | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Szantaż, utracone przetargi, koszty zewnętrznych specjalistów | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Ujawnienie poufnych dokumentów klientów i partnerów | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań); możliwe roszczenia z umów o poufności | 72 godziny od wykrycia | 20 tys. do 200 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera SharePoint bez styczniowych
aktualizacji 2026
Wpływ
5 | . . . . ■ ← KRYTYCZNE (serwer dostępny z internetu)
4 | . . □ . . ← WYSOKIE (serwer tylko w sieci firmowej)
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: serwer dostępny z internetu ma ryzyko krytyczne (atak bez konta, potwierdzone wykorzystanie, brak obejścia); serwer dostępny tylko z sieci firmowej ma niższe prawdopodobieństwo, ale skutek przejęcia magazynu dokumentów pozostaje bardzo poważny.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać serwery SharePoint w firmie (wersja produktu i numer kompilacji) | Dziś | Administrator SharePoint |
2 | 🔴 NATYCHMIAST | Zainstalować KB5002828 (2016), KB5002825 (2019) lub KB5002822 (Subscription Edition) albo nowszą aktualizację zbiorczą | Dziś | Administrator SharePoint |
3 | 🔴 NATYCHMIAST | Po instalacji potwierdzić numer kompilacji i zapisać datę oraz numer KB | Dziś | Administrator SharePoint |
4 | 🟠 PILNIE | Sprawdzić, czy serwer musi być dostępny z internetu; jeśli nie, ograniczyć dostęp do sieci firmowej i VPN | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Przejrzeć serwer pod kątem nieznanych plików w katalogach aplikacji, nowych kont i nietypowych procesów, zwłaszcza od marca 2026 roku | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Zmienić zasadę ustalania kolejności poprawek: pozycje z katalogu CISA KEV mają pierwszeństwo przed etykietą producenta | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Sprawdzić uprawnienia do bibliotek z najbardziej poufnymi dokumentami | Do 30 dni | Właściciele procesów / administrator |
Microsoft wydał poprawki dla wszystkich trzech wersji i nie opublikował żadnego obejścia, bo błąd tkwi w sposobie przetwarzania danych, a nie w funkcji, którą można wyłączyć. Poniższe miary tylko zmniejszają ekspozycję do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie serwera SharePoint od internetu (dostęp tylko z sieci firmowej lub przez VPN) | Wysoka wobec ataków z internetu, nie chroni przed napastnikiem w sieci | Średnia: pracownicy spoza biura potrzebują VPN |
Wzmożone monitorowanie serwera (nowe pliki w katalogach aplikacji, nietypowe procesy) | Niska jako ochrona, przydatna do wykrycia ataku | Średnia |
Kopia zapasowa bibliotek dokumentów poza serwerem | Nie zapobiega atakowi, ogranicza skutki | Łatwa do średniej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Kompilacja SharePoint | Poniżej wersji ze styczniową poprawką | 16.0.5535.1001, 16.0.10417.20083 lub 16.0.19127.20442 albo nowsza |
Dostęp z internetu | Często otwarty dla wygody | Tylko przez VPN lub z sieci firmowej |
Kolejność poprawek | Według etykiety producenta | Według potwierdzonych ataków (CISA KEV) |
Wiedza o możliwym włamaniu | Brak | Przejrzany serwer i konta |
Zgodność z terminem CISA | Zaległość od 21 marca 2026 roku (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Baza europejska ENISA (EUVD-2026-2114) podaje początek obserwowanego wykorzystania na 12 marca 2026 roku. Microsoft w swoich danych nadal pisze „wykorzystanie: nie” |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 bazowa, 8.5 czasowa wg Microsoftu (CVSS 3.1); NVD bez własnej oceny |
PoC dostępny publicznie? | Brak publicznych informacji; Microsoft w ocenie czasowej oznaczył kod wykorzystujący lukę jako niepotwierdzony |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,31554, percentyl 0,98196 (23 sierpnia 2026 roku), wartość rosnąca od lipca (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2026-20963
CVSS 3.1 bazowa 9.8/10 ███████████████████░ KRYTYCZNA
CVSS 3.1 czasowa 8.5/10 █████████████████░░░ WYSOKA
EPSS (próba w 30 dni) ~32% ██████░░░░░░░░░░░░░░ percentyl 98
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Mogę Ci jakoś pomóc?
2026-01-13 Microsoft publikuje poprawki (KB5002828, KB5002825,
KB5002822); publikacja CVE w NVD
2026-03-12 Początek obserwowanego wykorzystania wg bazy ENISA
2026-03-17 Rewizja 1.1 biuletynu Microsoftu (zmiana informacyjna)
2026-03-18 CISA dodaje lukę do katalogu KEV
2026-03-21 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08-23 EPSS 0,31554, percentyl 0,98196
... prawie 6 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn Microsoftu z numerami aktualizacji: msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20963 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-20963 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma ma własny serwer SharePoint (a nie tylko SharePoint Online w Microsoft 365) | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji, kompilacji i zainstalowanym KB | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową instalację aktualizacji poza kwartalnym oknem serwisowym | CTO | DZISIAJ |
4 | Zdecydować, czy serwer ma pozostać dostępny z internetu | CTO | DO JUTRA |
5 | Zlecić przegląd serwera pod kątem śladów włamania | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić, które umowy z klientami nakładają obowiązek informowania o wycieku ich dokumentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy własny serwer SharePoint i w jakiej wersji (2016, 2019, Subscription Edition)? | [wersja] | 🔴 |
2 | Jaki jest aktualny numer kompilacji serwera? | [kompilacja] | 🔴 |
3 | Kiedy zainstalowano KB5002828, KB5002825 lub KB5002822 albo nowszą aktualizację? | [data] | 🔴 |
4 | Czy serwer SharePoint jest dostępny z internetu? | TAK / NIE | 🔴 |
5 | Czy przegląd serwera wykazał nieznane pliki, konta lub procesy? | TAK / NIE | 🟠 |
6 | Czy ustalamy kolejność poprawek według katalogu CISA KEV, czy tylko według etykiety producenta? | [sposób] | 🟠 |
7 | Gdzie są kopie zapasowe bibliotek dokumentów i kiedy testowano ich odtworzenie? | [miejsce], [data] | 🟡 |
CVE-2026-20963 pozwala przez sieć, bez konta, wykonać kod na serwerze SharePoint 2016, 2019 lub Subscription Edition. Microsoft opisuje lukę jako „ważną” i niewykorzystywaną, ale CISA potwierdza ataki, a obejścia nie ma, więc instalacja styczniowych aktualizacji to zadanie na dziś, a przegląd serwera i ograniczenie dostępu z internetu na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.