Vulnerabilità zero-day SharePoint Server di Microsoft sfruttata attivamente

Microsoft ha confermato una grave vulnerabilità zero-day in SharePoint Server che permette spoofing e viene sfruttata attivamente da attaccanti. Se usate SharePoint nelle vostre imprese, applicate immediatamente le patch di sicurezza rilasciate il 14 aprile 2026 per evitare rischi elevati. Questa falla rappresenta una porta aperta per minacce che possono compromettere dati sensibili.

SharePoint è uno strumento essenziale per la collaborazione aziendale, ma questa vulnerabilità lo rende un bersaglio facile. In questo articolo scopriremo i dettagli, i rischi e le azioni immediate da intraprendere per salvaguardare i vostri ambienti.

Cos’è questa vulnerabilità e perché preoccuparsi?

La falla, identificata come un problema di validazione errata degli input, consente a un attaccante non autenticato di eseguire attacchi di spoofing tramite rete. Non richiede privilegi speciali né interazione dell’utente, rendendola accessibile a molti tipi di minacce.

Il punteggio CVSS base è 6.5 (importante), con complessità di attacco bassa e vettore di rete. Questo significa che chiunque con accesso alla rete può tentare lo sfruttamento. L’impatto principale riguarda la visualizzazione di informazioni sensibili e la modifica di dati esposti, anche se la disponibilità del servizio non è compromessa.

Microsoft ha rilevato exploitation in the wild prima del rilascio della patch, classificandola come “Exploitation Detected”. Il codice di exploit è funzionale e la conferma è alta, elevando drasticamente la priorità per le patch.

Impatto reale sulle imprese

SharePoint Server è diffuso in migliaia di organizzazioni per la gestione documenti e collaborazione. Questa vulnerabilità può servire da punto di ingresso iniziale per:

• Movimento laterale in rete.
• Raccolta di credenziali.
• Attacchi di tipo business email compromise.

Gruppi motivati finanziariamente o attori statali la vedono come opportunità ideale. Le versioni colpite sono Subscription Edition, 2019 e 2016, comuni in ambienti on-premises.

Azioni immediate consigliate:

• Installate le patch senza ritardo.
• Controllate i log di accesso per attività sospette.
• Limitate l’esposizione internet delle istanze SharePoint.
• Monitorate feed di threat intelligence per IOC.
• Rafforzate difese con WAF e segmentazione di rete.

Queste misure riducono il rischio mentre applicate gli aggiornamenti.

Come Microsoft ha risposto

Nella sua aggiornamento di sicurezza mensile, Microsoft ha fornito patch per tutte le versioni interessate:

• SharePoint Server Subscription Edition: KB5002853, Build 16.0.19725.20210.
• SharePoint Server 2019: KB5002854, Build 16.0.10417.20114.
• SharePoint Enterprise Server 2016: KB5002861, Build 16.0.5548.1003.

Tutte rilasciate il 14 aprile 2026, con azione cliente obbligatoria. Trattatele come update di emergenza.

La vulnerabilità non era pubblica prima della patch, suggerendo uno sfruttamento zero-day coordinato. Microsoft ringrazia la community per la disclosure.

Perché SharePoint è un target ad alto valore

Come piattaforma di collaborazione enterprise, SharePoint gestisce documenti sensibili, workflow e integrazioni. Una falla di spoofing può ingannare utenti credendo di interagire con fonti legittime, portando a escalation di privilegi.

In contesti aziendali, dove la compliance è cruciale (es. GDPR, ISO 27001), ignorare questa patch espone a multe e perdite reputazionali. Molte imprese legacy su versioni 2016/2019 sono particolarmente vulnerabili.

Adottare una strategia proattiva di patching e monitoraggio è essenziale per la cybersecurity moderna.

Approfondimento tecnico: Analisi della vulnerabilità

Dettagli tecnici della falla

La vulnerabilità (CWE-20: improper input validation) risiede nel componente Microsoft Office SharePoint. Un attaccante remoto non autenticato invia input malevoli via rete, bypassando controlli e spoofando identità.

Metriche EPSS e CVSS dettagliate:

• Attack Vector: Network.
• Attack Complexity: Low.
• Privileges Required: None.
• User Interaction: None.
• Scope: Unchanged.
• Confidentiality/Integrity Impact: Low.
• Temporal Score: 6.0 (con fix disponibile).

Combinata con exploitation attiva, il rischio reale supera il punteggio base.

Exploit e tattiche degli attaccanti

Il codice exploit è maturo (Functional), permettendo attacchi automatizzati. Tipiche catene:

1. Spoofing per accedere endpoint sensibili.
2. Estrazione dati o tampering.
3. Pivot per ulteriori compromissioni.

IOC da monitorare:

• Traffico anomalo su porte SharePoint (tipicamente 80/443).
• Pattern di autenticazione irregolari.
• Richieste con header input non validati.

Usate tool come SIEM, EDR per detection.

Patch e remediation avanzata

Applicate KB specifiche via Windows Update o download manuale. Verificate build post-patch:

Best practice post-patch:

• Test in staging.
• Rollout phased.
• Configurate least privilege per service account.
• Enable logging avanzato (es. Audit Logs in SharePoint).
• Integrate con Microsoft Defender for Identity.

Contesto più ampio sulle zero-day

Le zero-day in prodotti Microsoft sono comuni: pensate a Exchange Server o Office. SharePoint, con la sua esposizione, segue il trend. Trend 2026 mostrano aumento spoofing in collaborazione tools.

Per mitigare:

• Adottate zero-trust architecture.
• Segmentate network (es. VLAN per SharePoint).
• Deploy WAF con rules OWASP.
• Automatizzate patching con WSUS/Intune.

Per esperti: Analizzate il codice CWE-20; input validation manca sanitization su parametri query SOAP/REST in SharePoint APIs. Patch corregge con whitelisting rigorosa.

Questa vulnerabilità sottolinea l’importanza di patch management tempestivo. Mantenete sistemi aggiornati per minimizzare esposizioni.

(Conta parole: circa 1050)

Fonte: https://cybersecuritynews.com/sharepoint-server-0-day-vulnerability/