Kritisks SharePoint ielāps: CVE-2026-45659 jau tiek izmantots uzbrukumos

Ja tavā uzņēmumā darbojas lokāls (on-premises) SharePoint serveris — pārtrauc lasīt un ej ielāpot. CISA šonedēļ pievienoja ievainojamību CVE-2026-45659 aktīvi izmantoto ievainojamību (KEV) katalogam: uzbrucēji to jau lieto reālos uzbrukumos, un ASV iestādēm ielāps jāuzliek līdz 4. jūlijam. Tas ir signāls arī visiem pārējiem.

Kas par caurumu

CVE-2026-45659 ir attālinātas koda izpildes (RCE) ievainojamība Microsoft SharePoint Server (CVSS 8,8), kas rodas no neuzticamu datu deserializācijas. Autentificēts uzbrucējs var izpildīt savu kodu servera līmenī — tālāk parasti seko piekļuves paplašināšana un pārvietošanās pa tīklu.

Skartās versijas:

• SharePoint Server Subscription Edition
• SharePoint Server 2019
• SharePoint Enterprise Server 2016

Microsoft ielāpu izdeva jau maijā — ja tavi serveri kopš tā laika nav atjaunināti, tie ir atvērti.

Kas uzbrūk

Daļa uzbrukumu tiek attiecināta uz grupu Storm-2603, kas kopš 2025. gada vidus izplata Warlock izspiedējvīrusu, tieši laužoties caur zināmām SharePoint ievainojamībām. Shēma zināma: publiski pieejams serveris → deserializācijas caurums → webshell → izspiedējvīruss visā tīklā.

SharePoint on-prem serveri ir viens no iecienītākajiem sākumpunktiem uzbrukumiem pret uzņēmumu tīkliem — tie bieži ir publiski sasniedzami un reti atjaunināti.

Ko darīt tūlīt

1. Uzliec Microsoft maija drošības atjauninājumu visiem SharePoint serveriem — šodien, ne “nākamajā logā”.
2. Ja ielāpu nevar uzlikt uzreiz — ierobežo servera sasniedzamību no interneta (VPN, IP saraksti).
3. Pārbaudi žurnālus kopš maija: aizdomīgi POST pieprasījumi, jauni .aspx faili LAYOUTS mapēs, negaidīti w3wp bērnu procesi.
4. Ja atrodi kompromitācijas pazīmes — izolē serveri un rīkojies pēc incidenta plāna; ielāps neizārstē jau notikušu ielaušanos.

Avoti

• The Hacker News: SharePoint RCE CVE-2026-45659 Added to CISA KEV — apstiprināta aktīva izmantošana un KEV termiņš.
• Decryption Digest: Patch Before July 4 Deadline — skarto versiju saraksts un rīcības ieteikumi.
• Senserva: CISA KEV Additions (July 2026) — šonedēļ aktīvi izmantoto ievainojamību apkopojums.