SharePoint: zero-day sfruttata, patch urgenti

Una nuova vulnerabilità critica di Microsoft SharePoint Server, identificata come CVE-2026-58644, è stata inserita da CISA nel catalogo delle falle già sfruttate dagli attaccanti. Per le aziende italiane il punto non è solo tecnico: se usate SharePoint on-premises, il rischio è concreto e immediato, perché la falla consente esecuzione di codice remoto ed è già stata usata prima della disponibilità della correzione.

Il motivo per cui la notizia merita attenzione è semplice: SharePoint spesso contiene documenti interni, procedure, contratti e dati operativi centrali per l’azienda. Un attacco riuscito non significa solo “server compromesso”, ma possibile accesso non autorizzato, persistenza dell’attaccante e distribuzione di malware all’interno dell’infrastruttura.

Cosa è successo

Il 17 luglio 2026 CISA, l’agenzia statunitense per la cybersicurezza, ha aggiunto CVE-2026-58644 al proprio catalogo KEV, cioè l’elenco delle vulnerabilità note per essere già sfruttate in attacchi reali. Non si tratta quindi di un rischio teorico o di laboratorio.

La falla riguarda Microsoft SharePoint Server on-premises ed è classificata come critica, con punteggio CVSS 9.8. Microsoft la descrive come una vulnerabilità di deserializzazione di dati non attendibili che può permettere a un attaccante di eseguire codice arbitrario sul server.

Secondo l’avviso Microsoft, l’attacco può avvenire via rete e un aggressore autenticato almeno come Site Owner potrebbe scrivere ed eseguire codice da remoto sul server SharePoint. Microsoft ha inoltre evidenziato che lo sfruttamento è possibile anche via internet e che la complessità dell’attacco è bassa.

Le versioni coinvolte indicate nelle fonti sono:

• Microsoft SharePoint Server Subscription Edition
• Microsoft SharePoint Server 2019
• Microsoft SharePoint Enterprise Server 2016

Le patch sono state rilasciate nel Patch Tuesday del 14 luglio 2026. Successivamente Microsoft ha aggiornato il bollettino per chiarire che CVE-2026-58644 era già stata sfruttata “in the wild”, cioè in attacchi reali, come zero-day prima della pubblicazione delle correzioni.

Perché questa vulnerabilità è particolarmente seria

Non tutte le vulnerabilità critiche hanno lo stesso impatto pratico. In questo caso ci sono almeno tre elementi che alzano il livello di attenzione.

Il primo è che la falla colpisce un prodotto molto usato per collaborazione documentale, intranet e gestione dei contenuti aziendali. Quando un sistema del genere viene compromesso, l’attaccante può muoversi in un punto centrale dell’organizzazione.

Il secondo è che, secondo le indicazioni riportate da CISA, il problema non si limita alla sola esecuzione di codice. Nelle campagne di sfruttamento attive sono state osservate attività post-compromissione come il furto delle machine key di IIS, tecniche di deserializzazione per mantenere persistenza e il possibile rilascio di malware.

Il terzo è che CISA collega questa vulnerabilità ad altre falle SharePoint attivamente sfruttate: CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 e la stessa CVE-2026-58644. Il quadro che emerge è quindi quello di una pressione offensiva concentrata sugli ambienti SharePoint on-premises, non di un episodio isolato.

Chi è esposto davvero

La notizia riguarda in modo diretto chi gestisce SharePoint Server nei propri sistemi, soprattutto se pubblicato su internet o raggiungibile dall’esterno. È importante sottolineare la distinzione tra ambienti on-premises e servizi cloud: le fonti parlano espressamente delle versioni server installate in sede o in data center gestiti dall’azienda o dai suoi fornitori.

Sono particolarmente esposte le organizzazioni che:

• mantengono server SharePoint accessibili dall’esterno;
• hanno cicli di aggiornamento lenti o non formalizzati;
• non verificano con precisione l’esito delle patch;
• non dispongono di log e monitoraggio adeguati;
• usano il server come archivio di documenti critici senza un piano di risposta all’incidente.

Molte PMI non percepiscono SharePoint come un “sistema ad alto rischio” quanto firewall, posta o endpoint. In realtà, proprio perché ospita documenti, workflow e integrazioni, può diventare un ottimo punto d’ingresso o di consolidamento per un attaccante.

Le indicazioni operative diffuse da CISA

CISA non si è limitata a segnalare la vulnerabilità, ma ha anche indicato alcune misure di contenimento e hardening molto pratiche.

La prima, ovvia ma fondamentale, è applicare gli ultimi aggiornamenti di Microsoft e verificare che siano stati installati correttamente. In parallelo, CISA invita ad accorciare i tempi di patching quando possibile: un dettaglio importante, perché nel caso di zero-day ogni giorno di ritardo aumenta l’esposizione.

Tra le misure raccomandate rientrano anche:

• verificare che l’integrazione AMSI sia attiva per ogni applicazione web SharePoint;
• cercare ed eliminare eventuali tracce di compromissione, inclusi strumenti usati per sottrarre le machine key, prima di ruotare le chiavi IIS;
• predisporre logging mirato per individuare tentativi di sfruttamento e attività anomale;
• evitare di esporre direttamente SharePoint a internet se non strettamente necessario;
• bloccare l’accesso esterno a SharePoint Central Administration;
• limitare le comunicazioni di farm e database ai soli sistemi necessari;
• rivedere la guida Microsoft di hardening per porte, servizi e impostazioni Web.config in base ai ruoli del server.

Queste raccomandazioni mostrano un punto cruciale: la patch è indispensabile, ma da sola potrebbe non bastare se il server è già stato toccato prima dell’aggiornamento.

Cosa significa per la tua azienda

Se nella tua organizzazione esiste anche un solo SharePoint Server on-premises, la priorità è verificare oggi stesso tre aspetti: presenza del sistema, stato degli aggiornamenti e possibile esposizione esterna.

In pratica, per una PMI italiana il percorso corretto è questo:

1. Mappare subito i server SharePoint presenti
   Non dare per scontato che siano “gestiti dal fornitore” o “in un vecchio progetto”. Serve sapere dove si trovano, quale versione eseguono e chi ne ha la responsabilità operativa.

2. Applicare le patch del 14 luglio 2026 senza ritardi
   Se non è già stato fatto, l’aggiornamento va pianificato con urgenza. Dopo l’installazione è importante verificare che l’esito sia effettivo e completo.

3. Controllare se il server è pubblicato su internet
   Se l’accesso esterno non è indispensabile, conviene ridurlo o sospenderlo temporaneamente fino alla messa in sicurezza completa.

4. Cercare segnali di compromissione
   La presenza di una patch non esclude che la vulnerabilità sia stata sfruttata nei giorni precedenti. Vanno quindi esaminati log, configurazioni, account con privilegi, componenti sospetti e possibili alterazioni delle chiavi IIS.

5. Verificare backup e ripristino
   In caso di compromissione, avere copie affidabili e testate è essenziale. Se il backup esiste ma non viene verificato, il rischio operativo resta alto. In questo contesto può essere utile rivedere anche le strategie di remote backup.

6. Rafforzare la gestione ordinaria dei sistemi
   Questa vicenda conferma quanto conti una manutenzione continua: inventario dei server, patching regolare, monitoraggio, revisione degli accessi e procedure di escalation chiare. Per molte aziende il nodo non è la singola falla, ma l’assenza di un processo. Su questo fronte può aiutare un approccio strutturato di sicurezza informatica o di gestione continuativa dei client e dei server con desktop IT management.

Un ultimo punto spesso trascurato: se SharePoint contiene dati personali, documenti HR, contratti o informazioni sui clienti, un incidente può avere anche implicazioni organizzative e di conformità. Non è solo un tema “del sistemista”, ma un tema di continuità operativa, responsabilità e tutela del patrimonio informativo.

Una lezione più ampia: gli ambienti on-premises restano sotto pressione

La vicenda di luglio 2026 ricorda una realtà che molte aziende tendono a sottovalutare: i sistemi on-premises esposti o semi-esposti continuano a essere un bersaglio privilegiato. Quando un prodotto diffuso riceve una patch per una vulnerabilità critica già sfruttata, gli attaccanti accelerano: chi non aggiorna in fretta finisce spesso nelle campagne successive alla divulgazione.

Per questo non basta “mettere la patch quando c’è tempo”. Servono priorità chiare, una finestra di intervento rapida e la capacità di distinguere un aggiornamento ordinario da una remediation urgente.

Nel caso di SharePoint, l’elemento più importante non è la complessità tecnica della falla, ma il suo potenziale impatto sul business: documenti, workflow, autenticazioni, integrazioni e fiducia interna possono essere colpiti tutti insieme.

Domande frequenti

Usiamo Microsoft 365: questa notizia ci riguarda?

Le fonti citano le versioni SharePoint Server on-premises: Subscription Edition, 2019 e 2016. Se non gestite un server SharePoint locale, l’impatto diretto va verificato in base alla vostra architettura.

Basta installare la patch per essere al sicuro?

No, non sempre. Poiché la vulnerabilità risulta già sfruttata prima della correzione, è prudente controllare anche eventuali tracce di compromissione e non limitarsi all’aggiornamento.

Qual è la prima azione da fare oggi?

Verificare se in azienda esiste un SharePoint Server on-premises, controllare se è stato aggiornato con le patch del 14 luglio 2026 e capire se è accessibile da internet.