جزئیات آسیب‌پذیری‌های مایکروسافت شیرپوینت
نخستین آسیب‌پذیری با شناسه CVE-2026-55040، یک ضعف دور زدن احراز هویت (Authentication Bypass) در فرآیند اعتبارسنجی توکن‌های JWT است. مهاجمان بدون داشتن حساب کاربری یا مجوز قبلی می‌توانند با سوءاستفاده از ضعف، عملیات مختلفی را با سطح دسترسی یک کاربر یا ادمین سایت در مایکروسافت شیرپوینت انجام دهند.
آسیب‌پذیری دوم با شناسه CVE-2026-63520، کامپوننت Business Connectivity Services (BCS) در شیرپوینت را تحت تأثیر قرار می‌دهد مهاجمان بدون احراز هویت می‌توانند پس از سوءاستفاده موفق از CVE-2026-55040، از این آسیب‌پذیری به‌عنوان مرحله دوم یک زنجیره اکسپلویت استفاده کنند.
تکمیل این زنجیره می‌تواند در نهایت امکان اجرای کد از راه دور (RCE) را روی سرور هدف برای مهاجم فراهم کند.
انتشار PoC آسیب‌پذیری‌ها و آغاز سوءاستفاده عملیاتی
برای هر دو آسیب‌پذیری مایکروسافت شیرپوینت، اکسپلویت اثبات مفهوم (PoC) به‌صورت عمومی منتشر شده است. استفان فیور (Stephen Fewer)، پژوهشگر امنیتی شرکت Rapid7، در 11 آگوست PoC مربوط به CVE-2026-55040 را منتشر کرد. این اکسپلویت، بخش نخست زنجیره حمله را تشکیل می‌دهد.
در ادامه، جاناتان پیترسون (Jonathan Peterson)، پژوهشگر آسیب‌پذیری در شرکت VulnCheck، در 24 آگوست PoC مربوط به CVE-2026-63520 را منتشر کرد. این اکسپلویت نیز بخش دوم زنجیره حمله را تشکیل می‌دهد.
تنها یک روز پس از انتشار عمومی PoC مربوط به CVE-2026-55040، شرکت Defused اعلام کرد که مهاجمان از این اکسپلویت در حملات واقعی استفاده کرده‌اند. بر اساس گزارش این شرکت، کد اکسپلویت منتشرشده توسط Rapid7 به‌سرعت عملیاتی شده و در حملات علیه اهداف واقعی به کار گرفته شده است.
حدود دو هفته بعد، در 25 آگوست، شرکت Defused از شناسایی تلاش مهاجمان برای زنجیره‌کردن آسیب‌پذیری دور زدن احراز هویت با آسیب‌پذیری اجرای کد از راه دور (RCE) در شیرپوینت خبر داد. این زنجیره حمله علیه هانی‌پات‌های (Honeypots) شرکت مورد آزمایش و بررسی قرار گرفت.
مهاجمان ابتدا از ضعف دور زدن احراز هویت JWT در CVE-2026-55040 سوءاستفاده کردند. سپس با شناسایی گسترده حساب‌های ادمین، کامپوننت BCS مرتبط با CVE-2026-63520 را بررسی و آزمایش کردند.
با وجود شناسایی این فعالیت‌ها، Defused تأکید کرده است که در زمان ثبت این رخدادها، هیچ نشانه‌ای از اجرای کد مشاهده نشده بود. بر این اساس، شواهد موجود نشان می‌دهد مهاجمان در حال آزمایش و پیشبرد زنجیره اکسپلویت بوده‌اند، اما تاکنون هیچ مدرکی از اجرای موفق کد در هانی‌پات‌های این شرکت به دست نیامده است.
هزاران سرور شیرپوینت در دسترس اینترنت
بر اساس داده‌های سازمان Shadowserver، بیش از 8700 سرور مایکروسافت شیرپوینت در حال حاضر از طریق اینترنت قابل دسترسی هستند. با این حال، مشخص نیست چه تعداد از این سرورها هانی‌پات‌هایی برای شناسایی و ثبت تلاش‌های مهاجمان هستند و چه تعداد از سرورهای واقعی، پیش‌تر پچ‌های امنیتی لازم را دریافت کرده‌اند.
با توجه به ادامه تلاش مهاجمان برای آزمایش زنجیره اکسپلویت، سازمان‌ها باید دسترسی مستقیم سرورهای شیرپوینت از اینترنت را تا حد امکان محدود کنند. همچنین، نصب پچ‌های امنیتی مربوط به این آسیب‌پذیری‌ها می‌تواند از سوءاستفاده احتمالی مهاجمان جلوگیری کند.
هشدار CISA درباره آسیب‌پذیری‌های مایکروسافت شیرپوینت
آژانس امنیت سایبری و زیرساخت آمریکا (CISA) در 18 آگوست به سازمان‌های فدرال و تیم‌های امنیتی دستور داد سرورهای خود را در برابر حملات فعال مبتنی بر CVE-2026-55040 ایمن‌سازی کنند.
مایکروسافت نیز CVE-2026-63520 را هدفی جذاب برای عاملان تهدید توصیف کرده است. با این حال، این شرکت تاکنون سوءاستفاده از این آسیب‌پذیری در حملات واقعی را تأیید نکرده است.
CISA پیش‌تر در 15 جولای نیز درباره اکسپلویت فعال سه آسیب‌پذیری CVE-2026-32201، CVE-2026-45659 و CVE-2026-56164 هشدار داده بود. مهاجمان با سوءاستفاده از این آسیب‌پذیری‌ها، به سرورهای شیرپوینت مستقر در زیرساخت سازمان‌ها (On-Premises) نفوذ می‌کردند؛ سرورهایی که به‌طور مستقیم از طریق اینترنت قابل دسترسی بودند.
این نهاد امنیتی از تیم‌های امنیتی خواسته است راهنمای رسمی مایکروسافت درباره ایمن‌سازی امنیتی (Security Hardening) سرور شیرپوینت را بررسی کنند. همچنین توصیه کرده است سرورهای شیرپوینت، مگر در موارد ضروری، مستقیماً از طریق اینترنت قابل دسترسی نباشند.
همچنین CISA تأیید کرده است که آسیب‌پذیری اجرای کد از راه دور (RCE) با شناسه CVE-2026-45659 که اکسپلویت فعال آن از اوایل جولای تأیید شده است، اکنون در حملات باج‌افزاری نیز مورد سوءاستفاده قرار می‌گیرد.
CISA از نوامبر 2021 تاکنون، در مجموع 15 آسیب‌پذیری مایکروسافت شیرپوینت را در فهرست KEV خود قرار داده است. هشت مورد از این آسیب‌پذیری‌ها نیز توسط گروه‌های باج‌افزاری مورد سوءاستفاده قرار گرفته‌اند.
