Badan Keamanan Siber dan Infrastruktur AS (CISA) pada hari Selasa memperingatkan bahwa penyerang secara aktif mengeksploitasi tiga kerentanan untuk meretas server SharePoint lokal yang terekspos Internet.
Kelemahan keamanan ini (dilacak sebagai CVE-2026-32201, CVE-2026-45659, dan CVE-2026-56164) memengaruhi semua versi SharePoint Server yang dihosting sendiri dan didukung, termasuk SharePoint Server Subscription Edition (versi lokal terbaru, yang menggunakan model “pembaruan berkelanjutan”).
Sebagaimana dirinci dalam a nasihat hari Selasapenyerang mengeksploitasi kerentanan ini untuk melewati otentikasi, mendapatkan eksekusi kode jarak jauh, dan melakukan aktivitas pasca-eksploitasi, termasuk mencuri kunci mesin Layanan Informasi Internet dan mendapatkan kegigihan untuk menyebarkan malware pada sistem yang disusupi.
Badan keamanan siber AS juga menandai dua kerentanan SharePoint Server lainnya (CVE-2026-55040 dan CVE-2026-58644), yang telah ditambal oleh Microsoft pada hari Selasa dan ditandai sebagai target yang menarik bagi para penyerang, meskipun kerentanan tersebut belum diketahui telah dieksploitasi secara liar.
Kelompok pengawas keamanan internet Shadowserver saat ini melacak hampir 10.000 orang yang terpapar internet Server Microsoft SharePointdengan lebih dari 800 di antaranya belum ditambal terhadap kerentanan CVE-2026-32201 dan CVE-2026-45659.
Namun, tidak ada rincian berapa banyak dari mereka yang rentan terhadap serangan CVE-2026-56164 atau merupakan honeypots.
CISA mendesak tim keamanan untuk memantau dengan cermat server yang terkena dampak untuk melihat tanda-tanda eksploitasi dan merekomendasikan penerapan patch terbaru Microsoft, memverifikasi instalasi yang berhasil, memperpendek siklus patching, serta mengaktifkan Windows Antimalware Scan Interface (integrasi AMSI untuk aplikasi web SharePoint dan menggunakan deteksi Microsoft Defender Antivirus (MDAV) untuk mendeteksi dan memulihkan penyusupan.
Langkah-langkah pengerasan tambahan termasuk memburu dan memulihkan artefak intrusi sebelum merotasi kunci mesin IIS, membuat pencatatan log yang disesuaikan untuk memantau aktivitas anomali, menghindari paparan internet langsung pada server SharePoint kecuali diperlukan, dan meninjau Microsoft panduan pengerasan keamanan SharePoint Server resmi.
Disarankan juga untuk memblokir akses eksternal ke Administrasi Pusat SharePoint dan membatasi komunikasi farm dan database ke sistem yang diperlukan. Jika paparan diperlukan, CISA juga merekomendasikan penempatan server di belakang proxy terbalik Lapisan 7 atau kontrol keamanan lapisan aplikasi serupa.
CISA menambahkan tiga kerentanan yang dieksploitasi secara aktif ke dalam Katalog Kerentanan yang Diketahui dan Dieksploitasi di 14 April (CVE-2026-32201), 1 Juli (CVE-2026-45659), dan 14 Juli (CVE-2026-56164).
Badan-badan federal memiliki waktu hingga 17 Juli untuk mengamankan server SharePoint yang terpengaruh oleh CVE-2026-56164 berdasarkan Petunjuk Operasional yang Mengikat (BOD) 26-04 atau menghentikannya jika mitigasi tidak dapat diterapkan.
Totalnya, sejak November 2021, CISA sudah ditandai 11 Kerentanan Microsoft SharePoint yang telah dieksploitasi dalam serangan, dan 7 diantaranya juga dieksploitasi dalam serangan ransomware.
Uji setiap lapisan sebelum penyerang melakukannya
Tim keamanan mencatat 54% serangan yang berhasil dan hanya memberikan peringatan 14%. Sisanya bergerak melalui lingkungan Anda tanpa terlihat.
Whitepaper Picus menunjukkan bagaimana simulasi pelanggaran dan serangan menguji aturan SIEM dan EDR Anda sehingga ancaman berhenti lolos saat terdeteksi.
