Dal 18 luglio i server Microsoft SharePoint installati in sede sono sotto attacco di massa. La catena di vulnerabilità usata, chiamata ToolShell, permette a un attaccante senza credenziali di eseguire codice sul server. SharePoint Online, in Microsoft 365, non è coinvolto.
La storia comincia a maggio, a Berlino, dove la catena era stata presentata durante la competizione di hacking Pwn2Own. Microsoft l’aveva corretta negli aggiornamenti di luglio, ma le correzioni si sono rivelate aggirabili. Il 19 luglio l’azienda ha assegnato due nuovi identificativi, la CVE-2025-53770, esecuzione di codice remoto con punteggio 9,8, e la CVE-2025-53771, falsificazione dell’identità. Tra il 20 e il 21 luglio sono usciti gli aggiornamenti d’emergenza:
- KB5002768 per SharePoint Server Subscription Edition;
- KB5002754 per SharePoint Server 2019;
- KB5002760 per SharePoint Server 2016.
SharePoint 2010 e 2013 sono a fine supporto e non riceveranno nulla.
Le chiavi restano rubate
Il dettaglio che rende questo attacco diverso dagli altri è ciò che succede dopo l’accesso. Gli attaccanti caricano un file chiamato spinstall0.aspx e lo usano per sottrarre le machine key di ASP.NET, le chiavi con cui il server firma e cifra i dati di sessione. Con quelle chiavi possono costruire richieste che il server considera legittime ed eseguire comandi anche dopo l’aggiornamento. Chi installa la patch e si ferma lì, insomma, ha chiuso la porta lasciando la chiave nelle mani di chi è già passato.
Secondo Microsoft, tra gli autori degli attacchi ci sono due gruppi di spionaggio legati alla Cina, Linen Typhoon e Violet Typhoon, e un terzo gruppo basato in Cina, Storm-2603. I server compromessi sono già centinaia, anche di enti pubblici. Quanti dati siano usciti, è presto per dirlo.
Installa subito l’aggiornamento per la tua versione. Attiva l’integrazione con AMSI e un antivirus sui server SharePoint; se non puoi, scollega da Internet quelli esposti. Poi, ed è il passo che molti saltano, ruota le machine key di ASP.NET e riavvia IIS su tutti i server della farm.
Cerca spinstall0.aspx e altri file .aspx recenti nella cartella LAYOUTS, e controlla nei log le richieste a ToolPane.aspx. Se trovi segni di compromissione, considera rubate chiavi e credenziali presenti sul server e avvia la gestione dell’incidente.
