Vulnerabilità SharePoint: come gli hacker sfruttano le falle per eseguire codice, installare web shell e rubare chiavi crittografiche

Microsoft SharePoint Server è attualmente sotto attacco da gruppi hacker che sfruttano vulnerabilità critiche per assumere il controllo dei server on-premises. Se gestite server SharePoint in locale, la soluzione immediata è applicare subito gli aggiornamenti di sicurezza di Microsoft rilasciati nel luglio 2026 e verificare che tutti i server della farm siano aggiornati. Senza questa azione, le vostre infrastrutture aziendali sono esposte a furto di dati, accesso persistente e potenziali attacchi ransomware.

Le vulnerabilità in questione permettono a attaccanti non autenticati di eseguire codice arbitrario, installare backdoor persistenti e rubare le chiavi crittografiche che proteggono i dati aziendali. Questo significa che un singolo server vulnerabile può diventare il punto di ingresso per compromettere tutta la rete aziendale, inclusi servizi come Outlook, Teams e OneDrive che si integrano con SharePoint.

Perché SharePoint è un bersaglio così pericoloso

SharePoint non è solo un server per la condivisione di documenti: è un punto di connessione critico per l’intera infrastruttura aziendale. Quando un server SharePoint on-premises viene compromesso, gli attaccanti possono:

• Accedere a documenti sensibili archiviati sul server
• Sfruttare le connessioni fidate verso altri sistemi aziendali
• Raccogliere credenziali per accedere a database e servizi interni
• Movimentarsi lateralmente nella rete verso risorse domain e sistemi interni

La gravità della situazione è confermata dall’agenzia statunitense CISA (Cybersecurity and Infrastructure Security Agency), che ha inserito queste vulnerabilità nel catalogo delle vulnerabilità attivamente sfruttate (KEV – Known Exploited Vulnerabilities). Questo status indica che l’exploit è già in uso attivo e non è una semplice teoria di sicurezza.

Le vulnerabilità critiche in dettaglio

Le vulnerabilità principali che gli hacker stanno sfruttando includono CVE-2025-49704, CVE-2025-49706 e CVE-2025-53770, parte della catena di exploit denominata “ToolShell”. Queste falle permettono:

• Esecuzione remota di codice (RCE) senza necessità di credenziali
• Spoofing di identità per bypassare i controlli di autenticazione
• Accesso a funzionalità normalmente riservate agli utenti autenticati

CVE-2025-53770, in particolare, ha un punteggio CVSS di 9.8 su 10, il che la rende una delle vulnerabilità più critiche mai registrate. Consente la deserializzazione di dati non attendibili, permettendo a un attaccante remoto non autenticato di eseguire codice arbitrario sulle istanze target.

Cosa succede dopo l’accesso iniziale

Dopo ottenere l’accesso iniziale, gli attaccanti seguono una strategia precisa per garantire la persistenza nel sistema:

1. Installazione di web shell: Gli hacker caricano script malevoli come spinstall0.aspx (o varianti come spinstall.aspx, spinstall1.aspx) che concedono il controllo remoto completo del server

2. Furto delle chiavi MachineKey ASP.NET: Queste chiavi sono fondamentali per firmare e decifrare cookie e sessioni. Il loro furto permette agli attaccanti di creare dati ViewState o materiali di autenticazione che sembrano legittimi, consentendo accesso persistente anche dopo la rimozione della web shell

3. Aggiunta di moduli IIS malevoli: Gli attaccanti possono installare moduli IIS che si caricano con i processi worker e sopravvivono ai riavvii del sistema

4. Movimento laterale nella rete: Utilizzando l’account del servizio compromesso, gli attaccanti accedono a database, raccolgono ulteriori credenziali e si spostano verso risorse domain e sistemi interni

Quali versioni di SharePoint sono a rischio

Le vulnerabilità afectanò le seguenti versioni di SharePoint Server:

• SharePoint Server Subscription Edition
• SharePoint Server 2019
• SharePoint Server 2016
• SharePoint 2010 e 2013 (potenzialmente affected secondo alcune analisi)

È importante notare che SharePoint Online in Microsoft 365 non è influenzato da queste vulnerabilità. L’attacco colpisce esclusivamente i server SharePoint ospitati all’interno dell’organizzazione (on-premises), non quelli nel cloud.

Come proteggersi: azioni immediate consigliate

Le organizzazioni devono adottare immediatamente le seguenti misure di sicurezza:

Aggiornamenti e patch

• Applicare gli aggiornamenti di sicurezza di Microsoft del luglio 2026 su ogni server della farm SharePoint
• Verificare che le build aggiornate siano installate correttamente su tutti i sistemi
• Trattare i server SharePoint non patchati e esposti a internet come sistemi ad alta priorità per la risposta agli incidenti

Configurazione di sicurezza

• Attivare l’integrazione AMSI per ogni applicazione web
• Utilizzare la modalità Full Request Body Scan quando pratico
• Limitare l’esposizione diretta a internet dei server SharePoint
• Posizionare i servizi esterni dietro un layer di inspection autenticato
• Limitare la comunicazione con i database
• Bloccare l’accesso a Central Administration

Monitoraggio e threat hunting

Gli team di sicurezza devono esaminare regolarmente:

• Log IIS per richieste insolite
• Log degli eventi Windows per attività sospette
• Log ULS di SharePoint per file nuovi inaspettati
• Processi sospetti lanciati dai processi worker IIS (w3wp.exe)
• Cambiamenti ai moduli IIS o alle impostazioni delle chiavi machine-key

Risposta agli incidenti

Se si sospetta una compromissione:

1. Isolare i server compromessi dalla rete
2. Rimuovere i meccanismi di persistenza (web shell, moduli IIS malevoli)
3. Investigare tutti i membri della farm SharePoint
4. Ripristinare le credenziali degli account di servizio rilevanti
5. Ruotare le chiavi machine-key IIS solo dopo aver confermato che l’ambiente è pulito (ruotarle troppo presto può permettere all’intruso di mantenere altre forme di accesso)

Indicatori di compromissione (IoC)

I team di sicurezza devono monitorare questi indicatori specifici di compromissione:

Nota importante: Gli indirizzi IP e i domini sono intentionalmente defangati (ad esempio [.]) per prevenire la risoluzione accidentale o l’hyperlinking. Ri-defangare solo entro piattaforme controllate di threat intelligence come MISP, VirusTotal o il proprio SIEM.

Impatto reale: casi di attacco osservati

Gli attacchi osservati includono già la distribuzione di ransomware Warlock su sistemi compromessi, con crittografia di file e diffusione di malware. Gruppi hacker cinesi come Linen Typhoon e Violet Typhoon sono stati identificati come responsabili di queste attività di attacco, sfruttando le vulnerabilità per compromettere server SharePoint on-premises dal luglio 2025.

La catena di exploit ToolShell permette agli attaccanti di bypassare i controlli di identità, inclusi l’autenticazione multi-fattore (MFA) e il single sign-on (SSO), per ottenere accesso privilegiato. Una volta dentro, exfiltrano dati sensibili, distribuiscono backdoor persistenti e rubano chiavi crittografiche.

Conclusione: la sicurezza di SharePoint è prioritaria

La compromissione di un server SharePoint non rimane contenuta: ouvre le porte a tutta la rete aziendale. Con la profonda integrazione di SharePoint con Office, Teams, OneDrive e Outlook, ogni violazione rappresenta un rischio significativo per l’intera infrastruttura informatica aziendale.

Le organizzazioni devono agire immediatamente per applicare le patch, migliorare la configurazione di sicurezza e implementare un monitoraggio aggressivo. La sicurezza di SharePoint on-premises non è opzionale: è una priorità critica per proteggere i dati aziendali e prevenire compromissioni di rete più ampie.

Technical Deep Dive

Per gli utenti tecnici e gli esperti di sicurezza, ecco informazioni dettagliate sulle vulnerabilità e le tecniche di exploit:

Meccanismo di exploit ToolShell

La catena ToolShell combina CVE-2025-49704 (spoofing) e CVE-2025-49706 (RCE) per ottenere accesso completo ai server SharePoint:

1. CVE-2025-49706: Deserializzazione di dati non attendibili che permette RCE remoto senza autenticazione
2. CVE-2025-49704: Spoofing che bypassa i controlli di autenticazione attraverso la rete
3. CVE-2025-53770: Variante di CVE-2025-49706 sfruttata attivamente contro server on-premises
4. CVE-2025-53771: Path traversal che permette spoofing di workflow SharePoint legittimi usando header Referer forgiati

Tecniche di persistenza avanzate

Furto MachineKey ASP.NET:

• Le chiavi MachineKey sono utilizzate per firmare e decifrare cookie e sessioni
• Il furto permette creazione di dati ViewState o materiali di autenticazione che sembrano legittimi
• Questo garantisce accesso persistente anche dopo la rimozione della web shell

Moduli IIS malevoli:

• FarmAuthNative.dll è un modulo nativo IIS non autorizzato
• Si carica con i processi worker e sopravvive ai riavvii
• Triggerato tramite cookie FarmAuthCookie

Indicatori tecnici specifici per il threat hunting

Pattern di richiesta sospetti:

• Richieste POST a /_layouts/15/ToolPane.aspx e /_layouts/16/ToolPane.aspx con modalità edit display
• Header Referer spoofato verso /_layouts/SignOut.aspx
• Richieste GET che estraggono materiale machineKey da spinstall0.aspx

Processi sospetti da monitorare:

• w3wp.exe che genera cmd.exe, powershell.exe, csc.exe
• Processi child di w3wp.exe con comportamento anomalo
• Compilatori o shell di comando lanciati dai processi worker IIS

Modifiche al sistema da verificare:

• Aggiunta di moduli IIS non autorizzati (FarmAuthNative.dll)
• Modifiche alle impostazioni delle chiavi machine-key
• File nuovi inaspettati nelle directory di SharePoint
• Cambiamenti ai log ULS di SharePoint

Integrazione AMSI e Full Request Body Scan

L’integrazione AMSI (Antimalware Scan Interface) per ogni applicazione web con modalità Full Request Body Scan offre protezione contro:

• Payload malevoli in richieste POST
• Script web shell caricati
• Dati deserializzati non attendibili

CVSS e impatto delle vulnerabilità

• CVE-2025-53770: CVSSv3.1 = 9.8/10 (critico)
• CVE-2025-49704 e CVE-2025-49706: Catena di exploit che permette accesso completo
• CVE-2025-53771: Path traversal con bypass authentication

La combinazione di queste vulnerabilità permette agli attaccanti di eseguire codice arbitrario su istanze vulnerabili di Microsoft SharePoint, con accesso completo a file system, configurazioni interne e capacità di esecuzione di codice attraverso la rete.

Riferimenti tecnici per approfondimento:

• Report completo di Resecurity sulla campagna ToolShell
• Bollettino di Unit42 di Palo Alto Networks
• Aggiornamenti di sicurezza Microsoft Security Response Center
• Catalogo KEV di CISA per le vulnerabilità attivamente sfruttate

Fonte: https://cybersecuritynews.com/microsoft-sharepoint-vulnerabilities/