Un nuovo campanello d’allarme riguarda Microsoft SharePoint: una vulnerabilità critica già corretta da Microsoft a luglio 2026 viene ora sfruttata negli attacchi dopo la pubblicazione di un codice dimostrativo pubblico. Per le aziende significa una cosa molto concreta: se usate SharePoint Server locale e non avete applicato gli aggiornamenti, il rischio non è teorico ma immediato.
Il punto importante è che non si parla di una tecnica complessa riservata ad attori molto sofisticati. Quando un exploit pubblico circola e viene rapidamente “operativizzato”, la finestra utile per mettersi in sicurezza si riduce drasticamente.
Che cosa è successo
Il 12 agosto 2026 è emerso che alcuni attaccanti stanno già utilizzando un proof-of-concept pubblicato da Rapid7 per sfruttare la vulnerabilità CVE-2026-55040 di Microsoft SharePoint. La falla era stata corretta da Microsoft con gli aggiornamenti del Patch Tuesday di luglio 2026 per i sistemi che eseguono SharePoint Enterprise Server 2016 e SharePoint Server 2019.
Secondo quanto riportato, il problema riguarda un bypass dell’autenticazione nel meccanismo di validazione dei token JWT. In pratica, un attaccante senza privilegi può riuscire a operare come un utente del sito SharePoint o persino come un amministratore.
Microsoft aveva già classificato la vulnerabilità come particolarmente interessante per gli aggressori. L’azienda ha spiegato che lo sfruttamento può consentire lettura di file e modifica dei dati, pur senza incidere direttamente sulla disponibilità del sistema. Questo non rende il problema meno grave: per molte organizzazioni, l’accesso improprio a documenti e contenuti interni è già di per sé un incidente di sicurezza rilevante.
Perché la pubblicazione dell’exploit cambia tutto
Una vulnerabilità corretta ma non ancora sfruttata su larga scala lascia spesso alle aziende qualche giorno o settimana per intervenire. La situazione cambia quando viene pubblicato un exploit funzionante e, soprattutto, quando gli attaccanti iniziano a riutilizzarlo quasi subito.
È quello che sta accadendo qui. Rapid7 ha diffuso un’analisi tecnica dettagliata insieme a un PoC. Poco dopo, la società di threat intelligence Defused ha segnalato che quel codice era già stato adattato e usato contro i propri honeypot SharePoint.
Questo passaggio è cruciale per chi gestisce sistemi aziendali: significa che non siamo più nel campo della sola prevenzione prudenziale, ma in quello della difesa attiva contro tentativi concreti di compromissione.
Quali sistemi sono nel mirino
Le indicazioni disponibili riguardano in particolare gli ambienti SharePoint Enterprise Server 2016 e SharePoint Server 2019. Il tema interessa soprattutto le installazioni on-premise, cioè i server SharePoint gestiti direttamente dall’azienda o dal fornitore IT, non il servizio cloud Microsoft 365 in senso generico.
Un dato citato da Shadowserver aiuta a capire la portata del rischio: sono stati osservati oltre 8.500 server Microsoft SharePoint esposti su Internet. Non è noto quanti siano già aggiornati o quanti siano sistemi esca, ma il numero basta a spiegare perché questi prodotti restino un bersaglio ricorrente.
Quando un server documentale o collaborativo è esposto online, diventa un obiettivo ideale: contiene file, workflow, credenziali di accesso indirette, informazioni su processi aziendali e spesso collegamenti con altri sistemi interni.
Le indicazioni di CISA e il contesto più ampio
La CISA, l’agenzia statunitense per la cybersecurity, aveva già avvisato i difensori il 15 luglio 2026 della necessità di proteggere i server SharePoint da possibili attacchi legati a CVE-2026-55040. Le raccomandazioni sono semplici ma molto concrete:
- non esporre direttamente SharePoint su Internet, se non strettamente necessario;
- rivedere le linee guida ufficiali di hardening di SharePoint Server;
- bloccare l’accesso esterno alla SharePoint Central Administration;
- limitare le comunicazioni tra farm e database ai soli sistemi necessari;
- se l’esposizione Internet è inevitabile, posizionare il server dietro un reverse proxy Layer 7 o un controllo di sicurezza equivalente a livello applicativo.
Il quadro generale conferma che SharePoint continua a essere un bersaglio appetibile. Dal novembre 2021, CISA ha segnalato 14 vulnerabilità di Microsoft SharePoint sfruttate attivamente, e 8 di queste sono state usate anche in attacchi ransomware.
Inoltre, sempre secondo la stessa fonte, un’altra falla di SharePoint, la CVE-2026-45659, una vulnerabilità di remote code execution ad alta gravità, risulta già sfruttata da gruppi ransomware dopo essere stata osservata in attacchi attivi dall’inizio di luglio. Anche se si tratta di un problema distinto da CVE-2026-55040, il messaggio per le aziende è chiaro: SharePoint richiede oggi un’attenzione prioritaria.
Perché riguarda anche chi pensa di avere “solo un portale interno”
Molte PMI considerano SharePoint un semplice repository documentale o una intranet poco critica. In realtà, proprio questi ambienti finiscono spesso per contenere:
- documenti amministrativi e contrattuali;
- procedure operative interne;
- dati commerciali;
- informazioni HR;
- collegamenti o integrazioni con Active Directory e altri sistemi Microsoft.
Se un attaccante riesce a impersonare un utente o un amministratore, può muoversi in un contesto ricco di dati e utile anche per fasi successive dell’attacco: furto di informazioni, modifica dei contenuti, preparazione di truffe interne, escalation verso altri sistemi.
Non serve quindi attendere un blocco dei server per parlare di impatto reale. Anche la sola alterazione silenziosa di documenti o permessi può generare danni operativi, reputazionali e legali.
Cosa significa per la tua azienda
Se la tua organizzazione usa SharePoint Server locale, la priorità è verificare oggi stesso tre aspetti.
1. Capire se siete esposti
Fate censire subito tutte le installazioni SharePoint, comprese quelle meno evidenti: vecchie intranet, ambienti test lasciati accessibili, server pubblicati anni fa per fornitori o agenti esterni. In molte aziende il rischio maggiore non è il server principale, ma quello “dimenticato”.
2. Verificare patch e livello di esposizione
Controllate che gli aggiornamenti di luglio 2026 relativi a SharePoint siano stati applicati su tutti i sistemi interessati. Se il server è raggiungibile da Internet, valutate se l’esposizione sia davvero necessaria. Dove possibile, limitate l’accesso via VPN o tramite un proxy applicativo con regole restrittive.
3. Ridurre subito la superficie di attacco
Anche prima di una revisione più ampia, ci sono misure rapide che valgono molto:
- togliere dall’esterno la Central Administration;
- limitare gli accessi amministrativi;
- controllare i log per attività anomale recenti;
- verificare eventuali modifiche inattese a file, siti e permessi;
- rivedere le relazioni tra SharePoint, database e altri server.
Per una PMI, il tema non è solo “mettere la patch”, ma assicurarsi che il servizio rientri in una gestione ordinata degli endpoint e dei server. Se manca un processo strutturato di aggiornamento, monitoraggio e controllo delle esposizioni, episodi come questo tenderanno a ripetersi. In questi casi può essere utile rafforzare la gestione operativa con servizi di desktop e sistemi IT management e con un presidio continuativo tramite contratti di assistenza informatica.
Infine, se SharePoint ospita documenti rilevanti per l’operatività, è essenziale verificare che copie e versioni siano recuperabili in tempi rapidi. Una strategia di backup remoto aiuta non solo contro il ransomware, ma anche contro modifiche indebite o cancellazioni accidentali dopo una compromissione.
Come impostare una risposta pratica nelle prossime 24 ore
Per un responsabile d’ufficio o un imprenditore, la domanda giusta non è “quanto è tecnica la vulnerabilità?”, ma “chi sta facendo cosa per chiuderla?”. Un piano essenziale nelle prossime 24 ore può essere questo:
- chiedere al fornitore IT se esistono server SharePoint on-premise in azienda o presso terzi;
- ottenere conferma scritta dell’applicazione delle patch di luglio 2026;
- chiedere se il sistema è esposto direttamente su Internet;
- far verificare log, accessi amministrativi e modifiche recenti sospette;
- pianificare una revisione di hardening se il servizio deve restare pubblicato.
Questo approccio è pragmatico e adatto anche a organizzazioni senza reparto IT interno. L’importante è non rimandare: la disponibilità di un exploit pubblico abbassa la soglia tecnica necessaria per attaccare.
Domande frequenti
Se uso Microsoft 365 sono coinvolto?
Le informazioni disponibili riguardano SharePoint Server on-premise, in particolare SharePoint Enterprise Server 2016 e SharePoint Server 2019. Va comunque verificata la vostra architettura reale con il fornitore IT.
Basta installare la patch per essere tranquilli?
La patch è il primo passo indispensabile, ma non l’unico. Se il server è stato esposto e non aggiornato, è opportuno controllare log, accessi, modifiche ai dati e configurazioni di sicurezza.
Se il server non è pubblicato su Internet posso ignorare il problema?
No. Un sistema non esposto direttamente è in una posizione migliore, ma va comunque aggiornato. Inoltre occorre verificare accessi remoti, VPN, proxy e collegamenti con altri sistemi interni.