Il 14 luglio Microsoft ha pubblicato il più grande aggiornamento mensile della sua storia, con oltre 570 vulnerabilità corrette. Davanti a un numero del genere il rischio è perdersi. Conviene partire da SharePoint Server installato in sede, che ha due falle già sfruttate negli attacchi.
La più grave è la CVE-2026-58644, gravità 9,8: una deserializzazione di dati non attendibili che porta all’esecuzione di codice da remoto sul server. Il giorno dopo la pubblicazione Microsoft ha aggiornato l’avviso confermando lo sfruttamento, e il 16 luglio le autorità statunitensi l’hanno aggiunta all’elenco delle vulnerabilità sfruttate, con tre giorni per correggerla. La seconda, la CVE-2026-56164, è un’elevazione di privilegi via rete, anch’essa sfruttata come zero-day prima della correzione. Nello stesso pacchetto c’è una terza zero-day sfruttata, in Active Directory Federation Services, che permette di ottenere privilegi amministrativi.
Sono coinvolte tutte le versioni supportate in sede: Subscription Edition, 2019 e 2016. SharePoint Online non è interessato.
La stessa ricetta di un anno fa
Secondo le autorità statunitensi, gli attacchi contro SharePoint di questi mesi seguono uno schema ricorrente. Prima l’esecuzione di codice sul server, poi il furto delle chiavi macchina di IIS e ASP.NET, infine l’uso di quelle chiavi per costruire richieste che il server considera legittime. In questo modo l’accesso sopravvive anche alla patch. Chi ricorda ToolShell, nell’estate del 2025, riconosce la ricetta: allora come oggi, molti hanno installato l’aggiornamento e si sono fermati, lasciando le chiavi in mano agli attaccanti. Chi ci sia dietro questa nuova ondata non è stato detto.
Installa gli aggiornamenti di luglio su tutti i server SharePoint. Le build corrette sono la 16.0.19725.20384 per Subscription Edition, la 16.0.10417.20153 per la 2019 e la 16.0.5556.1005 per la 2016. Attiva l’integrazione AMSI e una protezione antimalware sui server, come raccomanda Microsoft.
Poi fai il passo che l’anno scorso molti hanno saltato: ruota le chiavi macchina di ASP.NET e riavvia IIS. Se sono state rubate, la patch da sola non ti protegge. Cerca file .aspx sconosciuti nelle cartelle di SharePoint e processi anomali avviati da IIS, e chiediti se il server debba davvero essere raggiungibile da Internet.
Per le altre 570 correzioni, ordina il lavoro partendo dai sistemi esposti. Non riuscirai a fare tutto in una settimana, e non serve: serve fare prima le cose giuste.
