Киберпреступники используют уязвимость Microsoft SharePoint в атаках с шифровальщиками

Агентство по кибербезопасности и защите инфраструктуры США (CISA) подтвердило, что киберпреступные группировки начали активно эксплуатировать критическую уязвимость в Microsoft SharePoint для распространения программ-вымогателей. Уязвимость, получившая идентификатор CVE-2026-45659, позволяет злоумышленникам удалённо выполнять произвольный код на серверах с низкими привилегиями доступа.

Проблема связана с небезопасной десериализацией данных, что делает атаки относительно простыми в реализации. Microsoft выпустила исправления для SharePoint Enterprise Server 2016, SharePoint Server 2019 и SharePoint Server Subscription Edition ещё в мае, однако многие организации до сих пор не обновили свои системы. CISA включила уязвимость в каталог активно эксплуатируемых уязвимостей (KEV) и обязала федеральные ведомства устранить её в течение трёх дней.

По данным группы Shadowserver, в интернете остаются доступными более 8,5 тысяч серверов SharePoint, из которых свыше 200 не защищены от CVE-2026-45659. Эксперты рекомендуют администраторам не только установить обновления, но и усилить мониторинг систем на предмет подозрительной активности. Особое внимание следует уделить интеграции с Windows Antimalware Scan Interface (AMSI) и использованию Microsoft Defender Antivirus для обнаружения попыток эксплуатации.

Стоит отметить, что это не первый случай, когда уязвимости в SharePoint становятся мишенью для атак с программами-вымогателями. С ноября 2021 года CISA зафиксировала 14 активно эксплуатируемых уязвимостей в этом продукте, восемь из которых использовались для распространения шифровальщиков. В июне агентство также сообщило об эксплуатации другой критической уязвимости в Microsoft Defender, связанной с повышением привилегий.