Allarme SharePoint: una falla critica espone le chiavi macchina. Microsoft rilascia il fix

Una falla critica nei server SharePoint on-premise è sotto sfruttamento attivo e permette agli aggressori di rubare le chiavi macchina degli ambienti compromessi. La vulnerabilità, identificata come CVE-2026-50522, consente l'esecuzione di codice arbitrario da remoto senza bisogno di autenticazione, e Microsoft l'ha corretta soltanto con gli aggiornamenti di sicurezza di luglio 2026.

Il problema, classificato come de-serializzazione di dati non attendibili, si aggiunge a un elenco già pesante. CISA aveva segnalato di recente altre tre vulnerabilità di SharePoint sotto sfruttamento attivo, e i ricercatori hanno ora individuato attacchi mirati anche contro questa quarta falla, nonostante la correzione fosse già disponibile.

Il punto più critico riguarda proprio le chiavi macchina, le credenziali che SharePoint utilizza per generare e validare i token di autenticazione interni. Chi riesce a sottrarle può forgiare token validi, impersonare utenti legittimi e accedere a siti e documenti aziendali con i loro stessi privilegi. Installare la patch, in questo caso, non basta a chiudere la porta: le chiavi rubate continuano a validare token falsificati anche dopo l'aggiornamento del server, garantendo agli aggressori una persistenza che sopravvive alla correzione ufficiale.

Exploit pubblico, attacchi partiti in poche ore: Microsoft sistema la falla

I ricercatori di watchTowr hanno osservato i primi tentativi di sfruttamento pochi giorni dopo la pubblicazione di un proof-of-concept funzionante, avvenuta il 20 luglio. La rete di honeypot dell'azienda, battezzata Attacker Eye, ha registrato compromissioni riuscite di server SharePoint nel giro di poche ore dalla diffusione della tecnica.

Defused, società specializzata in threat intelligence, aveva già intercettato un vettore di deserializzazione non documentato a partire dal 17 luglio, senza riuscire in un primo momento a collegarlo a una CVE specifica. Solo successivamente l'attività osservata è stata ricondotta con buona probabilità proprio alla CVE-2026-50522, segno che gli attacchi erano partiti ancora prima della divulgazione pubblica del PoC.

L'exploit PowerShell che circola pubblicamente su GitHub, opera del ricercatore noto come Janggggg, prende di mira un percorso di deserializzazione di SharePoint per ottenere l'esecuzione di codice sul server. Il meccanismo sfrutta l'invio di un token di autenticazione forgiato, contenente un payload .NET malevolo basato su BinaryFormatter, verso l'endpoint di login /_trust/default.aspx tramite una risposta WS-Federation contraffatta. Trattandosi di una falla che non richiede credenziali, qualunque server SharePoint esposto in rete diventa un bersaglio raggiungibile da remoto senza ostacoli preliminari.

Le organizzazioni che gestiscono installazioni on-premise di SharePoint dovrebbero installare prontamente gli ultimi aggiornamenti di sicurezza rilasciati da Microsoft. La patch, però, chiude solo la falla d'ingresso: non revoca i token di autenticazione né le chiavi macchina eventualmente già sottratte prima dell'intervento correttivo.

Gli amministratori con server potenzialmente esposti devono quindi ruotare le chiavi macchina e le credenziali associate, oltre a verificare la presenza di accessi non autorizzati, payload malevoli o altri segnali di persistenza sui sistemi coinvolti. Un semplice aggiornamento, da solo, rischia di lasciare la porta di servizio spalancata a chi è già entrato in precedenza.