Dwóch administratorów, jedna poprawka, bardzo różny lipiec

Wyobraź sobie dwie firmy z tym samym lokalnym serwerem SharePoint. Jedna zastosowała aktualizację zabezpieczeń Microsoftu z maja 2026 roku w tygodniu jej wydania. Druga odłożyła ją jako rutynę i ruszyła dalej, uspokojona własną adnotacją Microsoftu, że wykorzystanie jest mniej prawdopodobne. 1 lipca amerykańska agencja do spraw cyberbezpieczeństwa i bezpieczeństwa infrastruktury dodała dokładnie tę lukę, CVE-2026-45659, do swojego katalogu znanych wykorzystywanych podatności, powołując się na dowody aktywnych ataków w praktyce. Pierwszy administrator był już bezpieczny. Drugi ma teraz pilny problem z dołączonym publicznym terminem.

CISA dała amerykańskim agencjom federalnym czas do 4 lipca na załatanie luki. Ta data nie jest twoim obowiązkiem, ale wpis jest twoim ostrzeżeniem: podatność, którą ktoś zbagatelizował w maju, w lipcu służy do uderzania w realne cele.

Luka w prostych słowach

CVE-2026-45659 to podatność na zdalne wykonanie kodu spowodowana niebezpieczną deserializacją niezaufanych danych, o ocenie krytyczności 8.8 na 10. W praktyce oznacza to, że atakujący może zmusić serwer do uruchomienia wybranego przez siebie kodu. Dotyczy produktów lokalnych, czyli SharePoint Server Subscription Edition, SharePoint Server 2019 oraz SharePoint Enterprise Server 2016, a nie SharePointa hostowanego w chmurze w Microsoft 365.

Szczegółem, który podnosi stawkę, jest niski próg wejścia. Wykorzystanie luki nie wymaga uprawnień administratora, wystarczy pojedyncze konto ze zwykłymi uprawnieniami Członka witryny. Większość organizacji przyznaje ten poziom dostępu konsultantom, personelowi tymczasowemu i dziesiątkom zwykłych użytkowników. Jedno z tych poświadczeń, wyłudzone lub użyte ponownie gdzie indziej, to cały klucz.

Przepaść między mało prawdopodobnym a wykorzystywanym

Gdy Microsoft wydał poprawkę w maju, oznaczył wykorzystanie luki jako mniej prawdopodobne, co było rozsądną prognozą, która okazała się błędna w ciągu kilku tygodni. Ta przepaść jest powodem, dla którego oceny krytyczności dostawcy powinny ustalać twoją kolejność łatania, a nie twoją decyzję o łataniu. Ocena przewiduje zachowanie atakującego, wpis CISA wśród wykorzystywanych podatności je odnotowuje. Gdy te dwie rzeczy się różnią, wygrywa zapis, i właśnie wygrał.

Ten schemat nie jest nowy. Lokalne serwery pracy zespołowej, wystawione na internet i bogate w dane wewnętrzne, należą do najpewniej atakowanego oprogramowania w firmowych parkach serwerowych. Obniżona nota krytyczności to prognoza, a obalanie prognoz to dokładnie to, za co atakującym się płaci.

Dlaczego NIS2 zmienia stawkę i co zrobić teraz

Dla europejskich podmiotów konsekwencja jest zarówno regulacyjna, jak i techniczna. W ramach dyrektywy NIS2 organizacje objęte zakresem muszą zarządzać znanymi podatnościami i mogą podlegać kontroli oraz karom, jeśli tego zaniechają. Luka figurująca na publicznej liście wykorzystywanych podatności, z poprawką dostępną od maja, to niemal najwyraźniejszy możliwy dowód, że rozwiązanie istniało i nie zostało zastosowane. Po incydencie to pierwszy dokument, który podniesie śledczy.

Działanie jest wąskie i natychmiastowe. Potwierdź, czy prowadzisz którąś z trzech dotkniętych lokalnych wersji SharePoint. Jeśli tak, zastosuj teraz aktualizację z maja 2026 roku i poszukaj śladów naruszenia, zamiast zakładać, że sama aktualizacja zamyka drzwi. Następnie weź katalog CISA, a nie etykietę krytyczności dostawcy, jako wyzwalacz dla kolejnego takiego przypadku, ponieważ kolejny zawsze się pojawi.

Czytaj dalej: Jedenaście podpisanych bootloaderów omija Secure Boot  |  570 poprawek Windows w jeden dzień, dwie już wykorzystywane