Błąd deserializacji w lokalnym SharePoint Server pozwala zwykłemu członkowi witryny wykonać kod na serwerze. CISA potwierdza ataki, także ransomware. Sprawdź kompilację i zainstaluj aktualizację dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które utrzymują własny, lokalny SharePoint Server (2016, 2019 lub Subscription Edition). Werdykt: jeśli Twój serwer ma kompilację starszą niż wskazana przez Microsoft, zainstaluj aktualizację dziś, bo luka jest aktywnie wykorzystywana, także w atakach ransomware, a do ataku wystarczy konto zwykłego członka witryny.
Amerykańska agencja CISA 1 lipca 2026 roku dopisała podatność CVE-2026-45659 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd dotyczy lokalnych instalacji Microsoft SharePoint Server i pozwala osobie z kontem o niskich uprawnieniach wykonać na serwerze dowolny kod przez sieć.
Microsoft wydał poprawki w majowym zestawie aktualizacji, a biuletyn opublikował 21 maja 2026 roku. Sam producent ocenił wtedy wykorzystanie jako mało prawdopodobne, ale CISA potwierdziła ataki. Termin naprawy wyznaczony agencjom federalnym minął 4 lipca 2026 roku, ponad dwa i pół miesiąca temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-45659 |
Data dodania do CISA KEV | 2026-07-01 |
Termin naprawy wg CISA | 2026-07-04 (3 dni od wpisu) |
Produkt | Microsoft SharePoint Server, wyłącznie instalacje lokalne |
Wersje zagrożone | SharePoint Enterprise Server 2016 (64-bit) poniżej kompilacji 16.0.5552.1002; SharePoint Server 2019 poniżej 16.0.10417.20128; SharePoint Server Subscription Edition poniżej 16.0.19725.20280. Atakujący musi mieć konto co najmniej na poziomie Site Member (członek witryny) |
Wersje bezpieczne | 2016: 16.0.5552.1002 i nowsze (KB5002868). 2019: 16.0.10417.20128 i nowsze (KB5002870). Subscription Edition: 16.0.19725.20280 i nowsze (KB5002863). Numery KB nie zawsze dało się potwierdzić w serwisie producenta, pewniejsza jest weryfikacja po numerze kompilacji |
Typ podatności | Deserializacja niezaufanych danych prowadząca do zdalnego wykonania kodu; CWE-502 |
Ocena CVSS | Microsoft: 8.8 (CVSS 3.1, WYSOKA), ocena czasowa 7.7. NVD nie nadała własnej oceny. Atak przez sieć, niska złożoność, wymagane niskie uprawnienia, bez udziału użytkownika |
Nie potwierdzono, czy SharePoint Online w Microsoft 365 jest w jakikolwiek sposób objęty problemem. Producent wymienia tylko wersje lokalne.
Wyobraź sobie firmową kancelarię, do której pracownicy wrzucają zapakowane paczki z dokumentami. Pracownik kancelarii otwiera każdą paczkę i wykonuje instrukcję dołączoną do środka, na przykład „rozłóż w segregatorze A”. Nikt nie sprawdza, czy instrukcja jest dozwolona. Wystarczy więc, że ktoś z przepustką do budynku włoży do paczki kartkę „otwórz sejf i wydaj klucze”, a pracownik kancelarii grzecznie to zrobi.
Tak działa ta luka. SharePoint przyjmuje od zalogowanego użytkownika dane, które „rozpakowuje” do postaci obiektu w pamięci. Przy odpowiednio spreparowanych danych samo rozpakowanie uruchamia polecenie napastnika z uprawnieniami serwera. Przepustką jest zwykłe konto członka witryny, a takie konto ma w typowej firmie każdy pracownik działu i często także współpracownik zewnętrzny.
💡 Deserializacja to odtworzenie obiektu programu z ciągu bajtów, na przykład przesłanego w żądaniu. Jeśli program nie sprawdza, jakie typy obiektów wpuszcza, samo odtworzenie może uruchomić kod. Site Member to podstawowy poziom uprawnień w witrynie SharePoint, pozwalający dodawać i edytować treści. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane. AMSI to interfejs, przez który aplikacja przekazuje treść do sprawdzenia programowi antywirusowemu.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik dodaje dokument do witryny | Plik trafia do biblioteki | Tak samo, nic się nie zmienia |
Użytkownik z kontem Site Member wysyła spreparowane żądanie | Serwer odrzuca nieprawidłowe dane | Serwer wykonuje kod napastnika |
Przejęte hasło jednego pracownika | Dostęp do dokumentów tego pracownika | Droga do przejęcia całego serwera z dokumentami firmy |
Kradzież kluczy maszynowych serwera | Niemożliwa bez uprawnień administratora | Możliwa, a skradzione klucze działają nawet po instalacji poprawki |
Ocena producenta | „Wykorzystanie mało prawdopodobne” | CISA potwierdza realne ataki, także ransomware |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie otwiera serwera każdemu z internetu: napastnik musi najpierw zdobyć konto w SharePoincie, na przykład wyłudzonym lub wykradzionym hasłem. CISA ocenia, że ataku nie da się w pełni zautomatyzować, więc chodzi o działania na wybranych celach.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | T+0 min | Użycie hasła pracownika lub współpracownika zdobytego przez phishing albo wyciek z innej usługi | Zalogowanie do SharePointa jako zwykły członek witryny |
2. Rozpoznanie | T+kilkanaście minut | Sprawdzenie wersji i kompilacji serwera | Potwierdzenie braku poprawki |
3. Wykonanie kodu | T+1 godz. | Wysłanie spreparowanych danych do deserializacji | Polecenia wykonywane na serwerze SharePoint |
4. Kradzież kluczy | T+kilka godzin | Skopiowanie kluczy maszynowych serwera IIS | Możliwość tworzenia ważnych sesji nawet po późniejszej aktualizacji |
5. Utrwalenie | T+1 do 3 dni | Instalacja tylnych furtek i złośliwego oprogramowania | Stały, ukryty dostęp |
6. Kradzież i szantaż | T+dni do tygodni | Kopiowanie umów, ofert i dokumentów kadrowych, szyfrowanie serwerów | Wyciek danych i żądanie okupu |
Mogę Ci jakoś pomóc?
Lokalny SharePoint to w wielu firmach jednocześnie intranet, archiwum dokumentów i miejsce współpracy z partnerami. Przejęcie tego serwera daje napastnikowi dostęp do najbardziej poufnych plików i dogodny punkt wyjścia do reszty sieci. Liczba kont, które spełniają warunek ataku, jest zwykle równa liczbie pracowników.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Niedostępny intranet i repozytorium dokumentów, zaszyfrowane serwery | Dni od wejścia | 40 tys. do 300 tys. PLN (przestój, odtworzenie) |
Bezpieczeństwo danych | Wyciek umów, ofert, danych kadrowych i klientów | Godziny do dni od wejścia | 30 tys. do 200 tys. PLN (analiza powłamaniowa, wymiana kluczy, obsługa incydentu) |
Finansowy | Żądanie okupu, koszty zewnętrznych specjalistów, utracone zamówienia | Tygodnie | 100 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, którym udostępniano witryny | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z lokalnym SharePoint Server
bez aktualizacji z maja 2026
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne przejęcie serwera z dokumentami, potwierdzone użycie w ransomware), a prawdopodobieństwo wysokie, choć nie maksymalne, bo napastnik potrzebuje najpierw działającego konta w SharePoincie; firmy korzystające wyłącznie z SharePoint Online nie są wymienione jako podatne.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję i numer kompilacji każdego lokalnego serwera SharePoint | Dziś | Administrator SharePoint |
2 | 🔴 NATYCHMIAST | Zainstalować aktualizację z maja 2026 lub nowszą (KB5002868, KB5002870 lub KB5002863, zależnie od wersji) | Dziś | Administrator SharePoint / partner IT |
3 | 🔴 NATYCHMIAST | Włączyć integrację AMSI w trybie pełnego skanowania treści żądań dla każdej aplikacji webowej SharePoint | Dziś | Administrator SharePoint |
4 | 🟠 PILNIE | Wymienić klucze maszynowe (machine keys) serwera po instalacji poprawki | Do 3 dni | Administrator SharePoint |
5 | 🟠 PILNIE | Przejrzeć logi i alerty antywirusa pod kątem wykryć Exploit:Script/ToolPaneAuthBypass.A, Exploit:Script/ToolPaneAuthBypass.C i Backdoor:MSIL/LeakFang.A!dha | Do 3 dni | Dział IT / zespół bezpieczeństwa |
6 | 🟠 PILNIE | Przejrzeć listę kont z dostępem do witryn, usunąć nieaktywne i konta byłych współpracowników | Do 7 dni | Właściciele witryn / IT |
7 | 🟡 WAŻNIE | Sprawdzić, czy pozostałe luki SharePointa z serii (CVE-2026-32201, CVE-2026-56164, CVE-2026-58644, CVE-2026-50522, CVE-2026-55040) też są załatane | Do 14 dni | Administrator SharePoint |
8 | 🟡 WAŻNIE | Wymusić uwierzytelnianie wieloskładnikowe dla kont z dostępem do SharePointa | Do 30 dni | CTO |
Microsoft wydał poprawki dla wszystkich trzech wersji, więc docelowo trzeba je zainstalować. Biuletyn producenta nie zawiera obejść dla samej luki. Poniższe miary to ogólne utwardzenie zalecane przez CISA dla całej serii błędów SharePointa; efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Integracja AMSI z pełnym skanowaniem treści żądań (zalecenie CISA) | Średnia: może zatrzymać znane wzorce ataku, nie usuwa luki | Średnia: wymaga aktualnego antywirusa zgodnego z AMSI |
Ograniczenie dostępu do SharePointa z internetu (tylko VPN lub sieć firmowa) | Średnia: zawęża grono atakujących, nie chroni przed przejętym kontem wewnętrznym | Średnia |
Przegląd i ograniczenie kont z uprawnieniem Site Member, zwłaszcza zewnętrznych | Niska do średniej: zmniejsza liczbę możliwych punktów wejścia | Łatwa |
Monitorowanie alertów o wskazanych przez CISA nazwach wykryć | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Konto zwykłego członka witryny | Może doprowadzić do przejęcia serwera | Daje dostęp tylko do przydzielonych treści |
Klucze maszynowe | Mogą być w rękach napastnika | Wymienione, stare sesje nieważne |
Wykrywanie ataków | Brak skanowania treści żądań | AMSI sprawdza żądania, alerty są przeglądane |
Wiedza o włamaniu | Nie wiadomo, czy ktoś już wszedł | Przejrzane logi i wynik analizy |
Zgodność z terminem CISA | Zaległość od 4 lipca 2026 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Microsoft w maju 2026 oznaczał lukę jako niewykorzystywaną i „Exploitation Less Likely” |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnej rodziny ransomware |
Ocena CVSS | 8.8 WYSOKA wg Microsoft (CVSS 3.1); NVD bez własnej oceny |
PoC dostępny publicznie? | Brak publicznych informacji; ocena czasowa Microsoft zakłada brak znanego kodu ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Seria powiązanych luk | CISA łączy lukę z serią błędów SharePointa w KEV: CVE-2026-32201, CVE-2026-56164, CVE-2026-58644, CVE-2026-50522, CVE-2026-55040; CERT-EU opisuje serię w poradniku 2026-009 |
Prognoza EPSS | 0,09863 (ok. 10%) na 23 sierpnia 2026, percentyl 0,95264, czyli górne 5% ocenianych luk |
Ocena producenta i ocena CISA z tego samego okresu stoją w sprzeczności. Dla decyzji zarządu liczy się to, że wszystkie późniejsze sygnały wskazują na realne zagrożenie:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2026-45659
CVSS 3.1 (Microsoft) 8.8/10 ██████████████████░░ WYSOKA
EPSS percentyl 95% ███████████████████░ górne 5% luk
EPSS (próba w 30 dni) ~10% ██░░░░░░░░░░░░░░░░░░ NISKA wartość bezwzględna
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana 2026-05-21 Microsoft publikuje biuletyn, poprawki w majowym zestawie aktualizacji
2026-05-26 Rewizja 1.1 biuletynu: dopisanie CVE pominiętego w majowym zestawieniu
2026-05-26 Ocena SSVC w roli koordynatora CISA: wykorzystanie aktywne
2026-07-01 CISA dodaje lukę do katalogu KEV, ransomware: Known
2026-07-04 Termin naprawy wg CISA dla agencji federalnych
2026-08-23 EPSS 0,09863, percentyl 0,95264
... ponad 2,5 miesiąca od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45659 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-45659 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub partner IT) utrzymuje lokalny SharePoint Server i w jakiej wersji | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o numerze kompilacji każdego serwera SharePoint | CTO | DZISIAJ |
3 | Zatwierdzić instalację aktualizacji poza zwykłym oknem serwisowym | CTO | DZISIAJ |
4 | Zlecić włączenie AMSI i wymianę kluczy maszynowych | CTO | DO JUTRA |
5 | Zlecić przegląd logów i alertów antywirusa od maja 2026 | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nienaprawionych znanych luk | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaką wersję i kompilację mają nasze serwery SharePoint? | [wersja] | 🔴 |
2 | Czy aktualizacja z maja 2026 (lub nowsza) jest zainstalowana na wszystkich serwerach farmy? | TAK / NIE, [data] | 🔴 |
3 | Czy AMSI jest włączone w trybie pełnego skanowania dla każdej aplikacji webowej? | TAK / NIE | 🔴 |
4 | Czy po aktualizacji wymieniliśmy klucze maszynowe serwera? | TAK / NIE, [data] | 🟠 |
5 | Czy w logach lub alertach antywirusa pojawiły się wykrycia wskazane przez CISA? | TAK / NIE | 🟠 |
6 | Ile kont (w tym zewnętrznych) ma uprawnienia Site Member lub wyższe? | [liczba] | 🟠 |
7 | Czy SharePoint jest dostępny bezpośrednio z internetu? | TAK / NIE | 🟡 |
CVE-2026-45659 pozwala osobie z kontem zwykłego członka witryny wykonać kod na lokalnym serwerze SharePoint. CISA potwierdza ataki, także ransomware, a termin naprawy minął 4 lipca 2026 roku, więc aktualizacja, włączenie AMSI i wymiana kluczy maszynowych to zadania na dziś i najbliższe dni.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.