Due amministratori, una patch, un luglio molto diverso

Immagina due aziende con lo stesso server SharePoint on-premise. Una ha applicato l'aggiornamento di sicurezza Microsoft di maggio 2026 nella settimana in cui è uscito. L'altra lo ha archiviato come routine ed è andata avanti, rassicurata dalla nota di Microsoft secondo cui lo sfruttamento era meno probabile. Il 1 luglio l'agenzia statunitense per la cibersicurezza e la sicurezza delle infrastrutture ha aggiunto proprio quella falla, CVE-2026-45659, al suo catalogo delle vulnerabilità sfruttate note, citando prove di attacchi attivi in circolazione. Il primo amministratore era già al sicuro. Il secondo ora ha un problema urgente, con una scadenza pubblica attaccata.

CISA ha dato alle agenzie federali statunitensi tempo fino al 4 luglio per applicare la patch. Quella data non è un tuo obbligo, ma l'inserimento è il tuo avvertimento: una vulnerabilità che a maggio qualcuno ha ridimensionato viene usata a luglio contro bersagli reali.

La falla in parole chiare

CVE-2026-45659 è una vulnerabilità di esecuzione di codice da remoto causata dalla deserializzazione non sicura di dati non attendibili, con un punteggio di gravità di 8.8 su 10. In pratica significa che un aggressore può far eseguire al server il codice che preferisce. Riguarda i prodotti on-premise, cioè SharePoint Server Subscription Edition, SharePoint Server 2019 e SharePoint Enterprise Server 2016, e non lo SharePoint ospitato nel cloud in Microsoft 365.

Il dettaglio che alza la posta è la bassa barriera d'ingresso. Sfruttare la falla non richiede diritti di amministratore, basta un singolo account con i normali permessi di Membro del sito. La maggior parte delle organizzazioni concede questo livello di accesso a consulenti, personale temporaneo e decine di utenti ordinari. Una sola di quelle credenziali, carpita con il phishing o riutilizzata, è tutta la chiave.

Il divario tra improbabile e sfruttato

Quando a maggio Microsoft ha rilasciato la correzione, ha etichettato la falla come di sfruttamento meno probabile, una previsione ragionevole che si è rivelata sbagliata nel giro di poche settimane. Quel divario è il motivo per cui le valutazioni di gravità del fornitore dovrebbero fissare l'ordine delle tue patch e non la decisione di applicarle. Una valutazione prevede il comportamento dell'aggressore, un inserimento di CISA tra le vulnerabilità sfruttate lo mette a verbale. Quando le due si contraddicono, vince il verbale, ed è appena successo.

Lo schema non è nuovo. I server di collaborazione on-premise, esposti a internet e ricchi di dati interni, sono tra i software più regolarmente attaccati nei parchi aziendali. Una nota di gravità ridimensionata è una previsione, e smentire le previsioni è proprio ciò per cui gli aggressori vengono pagati.

Perché NIS2 cambia la posta, e cosa fare ora

Per gli operatori europei la conseguenza è normativa oltre che tecnica. Con la direttiva NIS2, le organizzazioni che rientrano nell'ambito devono gestire le vulnerabilità note e possono andare incontro a controlli e sanzioni se non lo fanno. Una falla che compare in un elenco pubblico di vulnerabilità sfruttate, con una patch disponibile da maggio, è quasi la prova più chiara possibile che una soluzione esisteva e non è stata applicata. Dopo un incidente, è il primo documento che un investigatore solleva.

L'azione è circoscritta e immediata. Verifica se gestisci una delle tre versioni on-premise di SharePoint interessate. Se sì, applica ora l'aggiornamento di maggio 2026 e cerca segni di compromissione invece di dare per scontato che il solo aggiornamento chiuda la porta. Poi prendi il catalogo di CISA, e non l'etichetta di gravità del fornitore, come innesco per il prossimo caso del genere, perché un prossimo caso c'è sempre.

Da leggere ora: Undici bootloader firmati aggirano Secure Boot  |  570 patch Windows in un giorno, due già sfruttate