Vulnerabiliteti i SharePoint CVE-2026-65660 është ekzekutim i kodit në distancë

Një vulnerabilitet i SharePoint i gjurmuar si CVE-2026-65660, të cilin Microsoft fillimisht e renditi si një defekt mashtrimi me një vlerësim ashpërsie 6.5, në fakt lejon një sulmues të autorizuar të ekzekutojë kodin e vet në server. Ky është përfundimi i detajeve të plota teknike të publikuara nga Dinh Ho Anh Khoa, një studiues në Viettel Cyber Security, dhe përputhet me atë që thotë regjistri i vetë Microsoft për CVE-në: i përditësuar më 11 shtator, ai regjistër e quan të njëjtin problem një vulnerabilitet ekzekutimi kodi në distancë dhe deklaron se ai lejon një sulmues të autorizuar të ekzekutojë kod. National Vulnerability Database, një katalog tjetër publik i defekteve të softuerit, e vlerëson atë 8.8.

Dy përshkrimet e Microsoft qëndrojnë krah për krah dhe tregojnë drejtime të ndryshme. Këshilla e Microsoft u thotë administratorëve se defekti lejon një sulmues të autorizuar të kryejë mashtrim dhe nuk i cakton asnjë ndikim integritetit ose disponueshmërisë, që do të thotë se kompania nuk renditi asnjë rrezik që të dhënat të ndryshohen dhe asnjë rrezik që një shërbim të ndalet. Regjistri i CVE-së që Microsoft publikon veçmas, i përditësuar më 11 shtator, e titullon të njëjtin defekt një vulnerabilitet ekzekutimi kodi në distancë. Të dy regjistrat i caktojnë dobësisë klasifikimin CWE-94, i cili mbulon injektimin e kodit, një kategori defekti ku një sulmues arrin të fusë udhëzimet e veta në një program. Pasoja praktike, siç e parashtron shkrimi i studiuesit, është se mbrojtësit që e triazhuan CVE-2026-65660 duke u bazuar vetëm në këshillë panë një defekt të moderuar mashtrimi në vend të një vrime ekzekutimi kodi që mbart një vlerësim afër majës së shkallës.

Sipas detajeve teknike që publikuar Khoa, problemi qëndron në mënyrën se si SharePoint kontrollon nëse kontrollet nga ana e serverit janë në listën SafeControls. Ajo listë është një filtër që synon të ndalojë klasat e rrezikshme të programeve të ngarkohen në një server SharePoint. Kur komponenti ToolPane përpunon shënimin e web-part, ai rindërton direktivat Register duke shkruar vlerat e atributeve midis thonjëzave të dyfishta pa i shpëtuar asnjë thonjëz që përmbahet brenda atyre vlerave. Një sulmues mund të abuzojë me ato thonjëza të pashpëtuara për të injektuar direktiva shtesë, duke regjistruar klasa arbitrare .NET pasi kontrolli i tipit tashmë ka kaluar, por përpara se kontrolli të ngarkohet në të vërtetë. .NET është korniza e softuerit mbi të cilën është ndërtuar SharePoint Server. Pasi ngarkimi arbitrar i klasave bëhet i mundur, sulmuesi përdor XamlServices.Parse() për të shkaktuar ekzekutim kodi përmes deserializimit, procesi i rindërtimit të të dhënave të ruajtura në objekte të gjalla, i cili mund të ekzekutojë kod nëse të dhënat vijnë nga një burim i pabesueshëm. Khoa tha se shkrimi përfshin një ngarkesë pune webshell në memorie që funksionon, një pjesë e vogël kodi që i jep një sulmuesi një ndërfaqe të vazhdueshme komandimi në server, dhe se kjo ngarkesë shmang dështimet e lejeve të regjistrit me të cilat përballen metodat e tjera të deserializimit.

Studiuesi gjithashtu demonstroi se defekti mund të zinxhirohet me një anashkalim të veçantë të autentikimit që tashmë është rregulluar, në mënyrë që të arrihet ekzekutim kodi në distancë para autentikimit në serverët e konfiguruar të lejojnë akses anonim në faqe. Para autentikimit do të thotë që një sulmues nuk ka nevojë për asnjë llogari të vlefshme për të sulmuar; aksesi anonim në faqe do të thotë që serveri i lejon vizitorët të shohin faqet pa u identifikuar. Khoa thotë se ai anashkalim u rregullua në një patch të 9 qershorit, dhe se serverët që aplikuan rregullimin nuk janë të ekspozuar ndaj rrugës para autentikimit.

CVE-2026-65660 nuk është problemi i parë i SharePoint me të cilin është marrë Khoa. Ai është studiuesi që demonstroi zinxhirin origjinal të shfrytëzimit ToolShell kundër SharePoint në Pwn2Own Berlin në maj 2025, një zinxhir që më vonë u shfrytëzua nga grupe të mbështetura nga shteti kinez dhe që shkaktoi patch-e urgjente nga Microsoft. Që atëherë ai ka zbuluar disa defekte të tjera të SharePoint, mes tyre CVE-2026-55040, një anashkalim autentikimi që sulmuesit e shfrytëzuan pak pasi detajet e tij u publikuan në gusht. Khoa thotë se e ka përdorur shfrytëzimin e CVE-2026-65660 në angazhime testimi depërtimi, të cilat janë teste të autorizuara ku një klient i kërkon një specialisti të sulmojë sistemet e tij.

Nga ana mbrojtëse, patch-et janë në dispozicion që nga përditësimet e sigurisë të 11 gushtit, dhe vulnerabiliteti prek SharePoint Server 2016, 2019 dhe Subscription Edition. Sipas studiuesit, patch-i i 11 gushtit rregullon defektin dhe fik funksionin e cenueshëm si parazgjedhje. Khoa thotë se defekti prek edhe SharePoint 2013, ndonëse këshilla e Microsoft rendit vetëm tre versionet e tjera. SharePoint 2013 ka dalë nga mbështetja që në prill 2023 dhe nuk merr përditësime sigurie, gjë që e lë pa një rregullim nga prodhuesi. Asnjë shfrytëzim i CVE-2026-65660 nuk është raportuar në terren, dhe defekti nuk është në katalogun Known Exploited Vulnerabilities të CISA, një listë publike e defekteve që sulmuesit konfirmohet se po i përdorin. Këshilla e Microsoft e vlerëson shfrytëzimin si të pabesueshëm, edhe pse shënimi i plotë i shfrytëzimit tani është publik, dhe shkrimi i studiuesit u publikua i plotë sot. Ky kombinim, një shfrytëzim publik dhe një mosmarrëveshje ashpërsie midis dy regjistrave nga i njëjti prodhues, është pjesa për të cilën ia vlen të veprosh, jo të debatosh.

Për organizatat që drejtojnë SharePoint, përfundimi është i drejtpërdrejtë: konfirmoni cilën version drejtoni, konfirmoni se përditësimet e 11 gushtit janë instaluar, dhe kontrolloni me këdo që administron platformën nëse funksioni i cenueshëm tani është çaktivizuar si parazgjedhje, pasi këshilla e Microsoft dhe regjistri i tij i CVE-së nuk përshkruanin të njëjtin rrezik. Nëse ekipi juaj do të preferonte të mos ndiqte vetë ciklet e patch-eve dhe mospërputhjet e këshillave, AEU-I ofron konsulencë IT dhe infrastrukture me sigurinë në radhë të parë për bizneset që duan një palë sy të jashtëm pikërisht për këtë lloj pune mirëmbajtjeje, dhe fusha e saj përshkruhet në https://aeu-i.com.