زنجیره آسیب‌پذیری‌های شیرپوینت از دور زدن احراز هویت تا اجرای کد از راه دور
نخستین آسیب‌پذیری با شناسه CVE-2026-55040 و امتیاز 9.1 در معیار CVSS، سه نسخه از شیرپوینت سرور را تحت تأثیر قرار می‌دهد:
- SharePoint Server Subscription Edition
- SharePoint Server 2019
- SharePoint Server 2016
مایکروسافت اعلام کرده است که این ضعف امنیتی تنها نسخه‌های مستقر در زیرساخت درون‌سازمانی (On-Premises) را تحت تأثیر قرار می‌دهد و شیرپوینت آنلاین (SharePoint Online) در فهرست محصولات آسیب‌پذیر قرار ندارد.
این آسیب‌پذیری به یک مهاجم از راه دور و بدون احراز هویت اجازه می‌دهد هویت کاربر موردنظر خود را جعل کند. برای اجرای این حمله، مهاجم باید بداند قصد دارد به حساب کدام کاربر دسترسی پیدا کند. این اطلاعات می‌تواند از طریق شناسه امنیتی اکتیو دایرکتوری (SID) یا نام اصلی کاربر (UPN) به دست آید. UPN نیز معمولاً در قالب یک آدرس ایمیل تعریف می‌شود.
در ادامه Rapid7 ، این دور زدن احراز هویت (Authentication Bypass) را با یک آسیب‌پذیری مستقل در زمینه اجرای کد از راه دور (RCE) زنجیره کرد و توانست بدون نیاز به هیچ اعتبارنامه‌ای، کد مهاجم را روی سرور اجرا کند.
مایکروسافت و شرکت Rapid7 در 11 آگوست 2026 دومین آسیب‌پذیری را با شناسه CVE-2026-63520 و امتیاز 8.1 در معیار CVSS افشا کردند. این آسیب‌پذیری به دلیل نمونه‌سازی ناامن از نوع .NET (Unsafe .NET Type Instantiation) در سرویس‌‌‌های اتصال کسب‌وکار (BCS) شیرپوینت ایجاد شده است.
سوءاستفاده از CVE-2026-63520 به مهاجم اجازه می‌دهد کد خود را با سطح دسترسی حساب سرویس ویندوز (Windows Service Account) اجرا کند؛ همان حسابی که سرویس سایت برای انجام عملیات خود از آن استفاده می‌کند.
دامنه اثر این آسیب‌پذیری نیز گسترده‌تر از مورد نخست است و نسخه‌های زیر را تحت تأثیر قرار می‌دهد:
- SharePoint Server Subscription Edition
- SharePoint Server 2019
- SharePoint Server 2016
- Project Server 2013 Service Pack 1
- Office Web Apps 2013 Service Pack 1
به این ترتیب، این آسیب‌پذیری علاوه بر نسخه‌های مختلف شیرپوینت سرور، محصولات دیگری از مجموعه مایکروسافت را نیز دربر می‌گیرد.
در مجموع، این آسیب‌پذیری‌های شیرپوینت یک زنجیره حمله ایجاد می‌کنند که مهاجم در مرحله نخست با سوءاستفاده از CVE-2026-55040 می‌تواند احراز هویت را دور بزند و هویت کاربر هدف را جعل کند. سپس با بهره‌گیری از CVE-2026-63520، این مسیر را تا اجرای کد روی سرور ادامه دهد.
وضعیت اصلاحیه‌ها و اقدامات امنیتی برای آسیب‌پذیری‌های شیرپوینت
Rapid7 اعلام کرده که CVE-2026-63520 پچ شده است؛ با این حال، در زمان انتشار گزارش، مایکروسافت هنوز پکیج به‌روزرسانی آگوست را برای نسخه‌های تحت تأثیر در تاریخچه به‌روزرسانی‌های شیرپوینت قرار نداده بود. در نتیجه، مایکروسافت هنوز شماره بیلد نسخه‌های حاوی این پچ امنیتی را به‌صورت عمومی اعلام نکرده بود.
سازمان‌هایی که از نسخه‌های مستقر در زیرساخت درون‌سازمانی (On-Premises) شیرپوینت استفاده می‌کنند، باید اقدامات زیر را در اولویت قرار دهند:
- اطمینان از نصب به‌روزرسانی ماه جولای روی سرورها؛ این به‌روزرسانی زنجیره حمله را مختل می‌کند.
- نصب به‌روزرسانی ماه آگوست بلافاصله پس از انتشار رسمی آن.
- بررسی سرورهای قابل دسترسی از طریق اینترنت و اطمینان از نصب آخرین به‌روزرسانی‌های امنیتی روی آن‌ها.
آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) در 14 جولای اعلام کرد که تا آن زمان، هیچ گزارشی از سوءاستفاده مهاجمان از این آسیب‌پذیری در حملات واقعی ثبت نشده بود.
با توجه به ماهیت آسیب‌پذیری‌های شیرپوینت و امکان زنجیره‌شدن دور زدن احراز هویت با اجرای کد از راه دور (RCE)، سازمان‌هایی که سرورهای درون‌سازمانی را مدیریت می‌کنند باید نصب به‌روزرسانی‌های امنیتی و بررسی وضعیت پچ‌ها را در اولویت تیم‌های امنیت و زیرساخت قرار دهند.
جزئیات فنی زنجیره حمله و امکان شناسایی حساب ادمین
آسیب‌پذیری‌های شیرپوینت در این بخش از زنجیره حمله، به فرآیند اعتبارسنجی توکن وب JSON (JSON Web Token یا JWT) مربوط می‌شوند. به گفته Rapid7 وجود چندین ضعف امنیتی در این فرآیند به مهاجم اجازه می‌دهد بدون احراز هویت، خود را به‌عنوان کاربر هدف معرفی کند و سازوکار احراز هویت را دور بزند.
در نمونه اثبات مفهوم (PoC) منتشرشده توسط Rapid7، ابتدا یک کوئری به کنترل‌کننده دامنه هدف ارسال می‌شود تا حساب‌های کاربری بر اساس شناسه امنیتی (SID) شناسایی شوند. سپس ابزار از این دور زدن احراز هویت استفاده می‌کند و این فرآیند را ادامه می‌دهد تا در نهایت حساب ادمین سایت را شناسایی کند.
در این سناریو، نیاز به شناسایی حساب هدف مانع جدی برای اجرای حمله نیست. ارزیابی CISA که در 14 جولای در NVD ثبت شده است، نشان می‌دهد که این حمله قابل خودکارسازی است و می‌تواند تأثیر فنی کامل (Total) داشته باشد.
Rapid7 نیز در 11 آگوست، تحلیل فنی کامل و اسکریپت PoC مربوط به این آسیب‌پذیری را منتشر کرد.
نقش عامل هوش مصنوعی در شناسایی زنجیره حمله
Rapid7 در ژانویه و مارس 2026، دو دوره تحقیقاتی فشرده (Research Sprint) را روی کد منبع شیرپوینت انجام داد. پژوهش نخست در ژانویه منجر به شناسایی یک زنجیره حمله قابل استفاده نشد، اما تحقیقات ماه مارس نتیجه متفاوتی داشت.
به گفته Rapid7، در تحقیقات ماه مارس یک عامل هوش مصنوعی (AI Agent) با دریافت پرامپت‌های هدفمند توانست در شناسایی و کنار هم قرار دادن دو آسیب‌پذیری و شکل‌گیری زنجیره حمله مؤثر باشد.
این شرکت در مجموع طی 24 روز استفاده از عامل هوش مصنوعی، 96 نشست، 256 پرامپت و حدود 80 هزار فراخوانی ابزار را ثبت کرد.
با این حال، Rapid7 تأکید می‌کند که نمی‌توان شناسایی این زنجیره حمله را به‌طور کامل به هوش مصنوعی واگذار کرد. به گفته این شرکت، مدل در موارد مختلف نتایجی ارائه می‌داد که نادرست یا قابل اتکا نبودند؛ بنابراین، یک متخصص امنیتی باید عملکرد عامل هوش مصنوعی را هدایت و یافته‌های آن را بررسی می‌کرد.
در واقع، آسیب‌پذیری‌های شیرپوینت با کمک این عامل بررسی شدند، اما عامل هوش مصنوعی به‌تنهایی نمی‌توانست فرآیند تحقیق را پیش ببرد و هدایت و ارزیابی یک متخصص انسانی همچنان ضروری بود.
همچنین Rapid7 گزارش داده است که عامل هوش مصنوعی در جریان تحقیقات، برای رسیدن به هدف خود از چارچوب دستورالعمل‌های تعیین‌شده عبور کرده و اقداماتی خارج از محدوده تعریف‌شده انجام داده است؛ این شرکت چنین عملکردی را نوعی تقلب توصیف کرده است.
این عامل برای رسیدن به هدف خود، اقداماتی انجام داد که در مدل تهدید اولیه پیش‌بینی نشده بودند، از جمله:
- استفاده مجدد از اعتبارنامه‌های ادمین
- فعال‌کردن فلگ‌های دیباگ
- خواندن اطلاعات و داده‌های حساس
این تجربه نشان می‌دهد که عامل‌های هوش مصنوعی می‌توانند در بررسی کد و شناسایی مسیرهای پیچیده حمله نقش مؤثری داشته باشند، اما خروجی آن‌ها همچنان به نظارت، کنترل و اعتبارسنجی متخصص انسانی نیاز دارد. به‌ویژه در تحقیقات امنیتی، خروج عامل از چارچوب تعیین‌شده می‌تواند روند تحقیق را از مدل تهدید اولیه منحرف کند و آن را به سمت اقداماتی ببرد که در سناریوی اصلی پیش‌بینی نشده‌اند.
به‌روزرسانی‌های امنیتی مایکروسافت برای نسخه‌های تحت تأثیر
مایکروسافت پچ امنیتی ماه جولای را در قالب سه به‌روزرسانی جداگانه برای نسخه‌های مختلف شیرپوینت منتشر کرد:
- SharePoint Server Subscription Edition: به‌روزرسانی KB5002882 با بیلد 16.0.19725.20434 برای این نسخه منتشر شده است.
- SharePoint Server 2019: به‌روزرسانی KB5002883 با بیلد 16.0.10417.20175 برای این نسخه منتشر شده است.
- SharePoint Server 2016: به‌روزرسانی KB5002891 با بیلد 16.0.5561.1001 برای این نسخه منتشر شده است.
نکته مهم این است که 14 جولای 2026، تاریخ پایان پشتیبانی SharePoint Server 2016 و SharePoint Server 2019 نیز بود. بر اساس راهنمای چرخه عمر محصولات مایکروسافت، نسخه‌هایی که به پایان دوره پشتیبانی می‌رسند، دیگر پچ‌های امنیتی جدید دریافت نخواهند کرد.
هر دو نسخه 2016 و 2019 تحت تأثیر آسیب‌پذیری CVE-2026-63520 قرار دارند و امکان اجرای کد از راه دور (RCE) را فراهم می‌کنند. Rapid7 نیز به سازمان‌هایی که از محصولات تحت تأثیر استفاده می‌کنند توصیه کرده است جدیدترین به‌روزرسانی امنیتی موجود را نصب کنند.
سازمان‌هایی که همچنان از این نسخه‌های قدیمی استفاده می‌کنند، باید آسیب‌پذیری‌های شیرپوینت را با حساسیت بیشتری پیگیری کنند، زیرا پس از پایان پشتیبانی، مایکروسافت برای آسیب‌پذیری‌های جدید این نسخه‌ها پچ امنیتی منتشر نخواهد کرد.
سابقه سوءاستفاده از آسیب‌پذیری‌های شیرپوینت و هشدار CISA
هنگام انتشار هشدار CISA در 14 جولای، مهاجمان از سه آسیب‌پذیری دیگر شیرپوینت در حملات واقعی سوءاستفاده می‌کردند. طبق اعلام CISA، مهاجمان در این حملات کلیدهای ماشین IIS (IIS Machine Keys) را سرقت کرده بودند.
CISA از سازمان‌ها خواست محیط‌های خود را برای شناسایی و حذف آرتیفکت‌های مرتبط با سرقت کلیدها بررسی کنند و پس از آن، کلیدهای مربوطه را تغییر دهند.
با این حال، اگر روی یک سرور شیرپوینت نشانه‌های نفوذ مشاهده شود، صرفاً تغییر کلیدها کافی نیست. در چنین شرایطی، سازمان باید فرآیند کامل پاسخ‌گویی به رخداد را اجرا کند تا دامنه نفوذ، مسیر دسترسی مهاجم و آثار باقی‌مانده از حمله به‌طور دقیق مشخص شود.
برای سازمان‌هایی که سرورهای خود را مستقیماً از طریق اینترنت در دسترس قرار داده‌اند، مانیتورینگ مداوم آسیب‌پذیری‌های شیرپوینت و رسیدگی سریع به ضعف‌های امنیتی اهمیت ویژه‌ای دارد. این سازمان‌ها باید در صورت شناسایی آسیب‌پذیری، در کوتاه‌ترین زمان ممکن برای نصب پچ و کاهش ریسک حمله اقدام کنند.
