Πόσο γρήγορα περνά μια δημόσια τεχνική ανάλυση από την οθόνη ενός ερευνητή στα αρχεία ενός ευάλωτου διακομιστή; Η ευπάθεια του SharePoint CVE-2026-55040 έγινε στόχος προσπαθειών εκμετάλλευσης μέσα σε λίγες ώρες από τη δημοσίευση κώδικα επίδειξης.
Η αδυναμία αφορά τον μηχανισμό ταυτοποίησης του Microsoft SharePoint. Όπως εξηγεί η SecurityWeek, απομακρυσμένος και μη πιστοποιημένος επιτιθέμενος μπορεί να παρακάμψει έναν έλεγχο ασφαλείας και να δημιουργήσει ανώνυμη σύνδεση.
Δείτε επίσης: CVE-2026-45659: Η ευπάθεια SharePoint RCE στο CISA KEV
Τι γνωρίζουμε για την ευπάθεια CVE-2026-55040
Το CVE-2026-55040 έχει καταγραφεί από το NVD ως αδυναμία ασθενούς ταυτοποίησης, χωρίς ακόμη αξιολόγηση CVSS από τη βάση δεδομένων. Η επίσημη περιγραφή της NVD αναφέρει ότι η παράκαμψη γίνεται μέσω δικτύου, ενώ η Microsoft είναι η πηγή της καταχώρισης.
Στην πράξη, η ανώνυμη πρόσβαση μπορεί να επιτρέψει αποκάλυψη αρχείων και τροποποίηση δεδομένων. Η Rapid7, σύμφωνα με το δημοσίευμα, εκτιμά ότι ένας εισβολέας θα μπορούσε να εκτελέσει ενέργειες με δικαιώματα χρήστη ή διαχειριστή σε μια τοποθεσία SharePoint, ανάλογα με τη διαμόρφωση.
Ο κίνδυνος είναι ιδιαίτερα σημαντικός για εγκαταστάσεις που φιλοξενούν έγγραφα, ροές εργασίας και εσωτερικές συνεργασίες. Η παράκαμψη της ταυτοποίησης δεν σημαίνει αυτόματα πλήρη απομακρυσμένη εκτέλεση κώδικα, αλλά ανοίγει δρόμο για αναγνώριση περιεχομένου, αλλαγή δεδομένων και αξιοποίηση λογαριασμών με περισσότερα δικαιώματα.
Η εκμετάλλευση ξεκίνησε μετά το PoC
Η Microsoft διόρθωσε την ευπάθεια του SharePoint στις ενημερώσεις του Ιουλίου 2026. Στις 11 Αυγούστου, η Rapid7 δημοσίευσε τεχνικές λεπτομέρειες και κώδικα επίδειξης. Την επόμενη ημέρα, η Defused κατέγραψε στα honeypots της προσπάθειες που αξιοποιούσαν το ίδιο PoC.
Η αλληλουχία αυτή δεν αποδεικνύει ποιος βρίσκεται πίσω από τις επιθέσεις ούτε ότι παραβιάστηκε συγκεκριμένος οργανισμός. Δείχνει όμως πόσο μικρό είναι πλέον το περιθώριο αντίδρασης όταν ένας διακομιστής παραμένει εκτεθειμένος μετά τη δημοσίευση ενός λειτουργικού exploit.
Η αναφορά γίνεται ακόμη πιο κρίσιμη επειδή το ίδιο οικοσύστημα περιλαμβάνει και την CVE-2026-63520, την οποία η Rapid7 περιγράφει ως ευπάθεια που θα μπορούσε να συνδυαστεί με την CVE-2026-55040 για απομακρυσμένη εκτέλεση κώδικα χωρίς ταυτοποίηση. Η Microsoft την αντιμετώπισε στις ενημερώσεις Αυγούστου, χωρίς μέχρι στιγμής ένδειξη ότι χρησιμοποιείται ενεργά.
Η CISA έχει προειδοποιήσει ότι το CVE-2026-55040 δεν ήταν ακόμη γνωστό πως εκμεταλλεύεται ενεργά, αλλά αποτελεί πιθανό κίνδυνο αν μείνει χωρίς ενημέρωση. Η καταχώριση δεν βρισκόταν στο KEV, σε αντίθεση με άλλες ευπάθειες του SharePoint που έχουν ήδη χρησιμοποιηθεί σε επιθέσεις.
Δείτε επίσης: Patch Tuesday Ιουνίου 2026: Ρεκόρ ευπαθειών από τη Microsoft
Τι πρέπει να ελέγξουν οι διαχειριστές
Πρώτη ενέργεια είναι η επιβεβαίωση ότι έχουν εγκατασταθεί οι ενημερώσεις Ιουλίου σε κάθε υποστηριζόμενο διακομιστή SharePoint. Η Microsoft έχει ήδη διαθέσει και την ενημέρωση Αυγούστου για την έκδοση Subscription Edition, με το KB5002893, η οποία αντιμετωπίζει διαφορετική ευπάθεια, την CVE-2026-63520. Δεν πρέπει να θεωρηθεί υποκατάστατο του ελέγχου για το CVE-2026-55040. Ο συγκεκριμένος έλεγχος παραμένει απαραίτητος σε κάθε εγκατάσταση.
Η CISA συστήνει ενεργοποίηση της ενσωμάτωσης AMSI σε κάθε εφαρμογή SharePoint και, όπου είναι εφικτό, λειτουργία Full Mode για τη σάρωση του σώματος των αιτημάτων. Παράλληλα, οι ομάδες ασφαλείας χρειάζεται να αναζητούν ασυνήθιστα αιτήματα, ύποπτη δραστηριότητα των διεργασιών του SharePoint, webshells και πρόσβαση σε κλειδιά του IIS.
Η έκθεση στο διαδίκτυο πρέπει να περιορίζεται στο απολύτως απαραίτητο. Όταν δεν μπορεί να αποφευχθεί, ο διακομιστής θα πρέπει να βρίσκεται πίσω από αντίστροφο διακομιστή επιπέδου εφαρμογής που απαιτεί ταυτοποίηση και φιλτράρει τα αιτήματα, ενώ η Κεντρική Διαχείριση του SharePoint δεν πρέπει να είναι δημόσια προσβάσιμη.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Η διερεύνηση δεν πρέπει να περιοριστεί στον αριθμό έκδοσης. Οι ομάδες IT οφείλουν να κρατήσουν τα σχετικά αρχεία καταγραφής, να συγκρίνουν τις αιτήσεις πριν και μετά τη δημοσίευση του PoC και να ελέγξουν για μη αναμενόμενες αλλαγές σε λογαριασμούς, δικαιώματα, αρχεία ρυθμίσεων και περιεχόμενο ιστοτόπων. Αν εντοπιστούν ενδείξεις παραβίασης, απαιτείται άμεση απομόνωση και διαδικασία απόκρισης περιστατικού.
Ο έλεγχος χρειάζεται να καλύψει τόσο τους δημόσιους ιστοτόπους όσο και τις εσωτερικές πύλες που είναι προσβάσιμες μέσω VPN ή άλλων μηχανισμών απομακρυσμένης σύνδεσης. Η περιοδική επανεξέταση των κανόνων πρόσβασης και η καταγραφή των αλλαγών μειώνουν την πιθανότητα να παραμείνει μια ευάλωτη υπηρεσία εκτεθειμένη χωρίς να το γνωρίζει η ομάδα ασφαλείας.
Δείτε επίσης: Εργαλεία τεχνητής νοημοσύνης εντόπισαν zero-days και δημιούργησαν RCE exploit
Το βασικό μάθημα για κάθε οργανισμό είναι πρακτικό: η εγκατάσταση μιας ενημέρωσης δεν αρκεί χωρίς επαλήθευση, καταγραφή και παρακολούθηση. Οι διαχειριστές πρέπει να ελέγξουν άμεσα τις εκτεθειμένες παρουσίες SharePoint για το CVE-2026-55040, να επιβεβαιώσουν την εφαρμογή των διορθώσεων και να αντιμετωπίσουν κάθε ύποπτη ένδειξη ως πιθανό περιστατικό.
