Microsoft SharePoint Zero-Day Dieksploitasi dalam Serangan RCE, Tidak Ada Patch Tersedia

UPDATE 7/21/25: Menambahkan tautan ke pembaruan keamanan untuk Microsoft SharePoint 2019.

Kerentanan nol-hari kritis di Microsoft SharePoint, dilacak sebagai CVE-2025-53770 dan CVE-2025-53771, telah dieksploitasi secara aktif sejak setidaknya 18 Juli, tanpa tambalan yang tersedia dan setidaknya 85 server yang sudah dikompromikan di seluruh dunia.

Pada bulan Mei, peneliti keamanan cyber viettel merantai dua kekurangan Microsoft SharePoint, CVE-2025-49706 Dan CVE-2025-49704dalam serangan “toolshell” yang ditunjukkan di PWN2own Berlin untuk mencapai eksekusi kode jarak jauh.

Sementara Microsoft menambal kedua kelemahan alat itu sebagai bagian dari Patch Juli Selasasekarang peringatan bahwa para aktor ancaman dapat melewati perbaikan dengan eksploitasi baru.

Kerentanan baru ini dilacak sebagai CVE-2025-53770 (Bypasses CVE-2025-49704) dan CVE-2025-53771 (CVE-2025-49706), dan secara aktif dieksploitasi serangan terhadap server SharePoint di tempat.

“Microsoft menyadari serangan aktif yang menargetkan pelanggan server SharePoint di tempat dengan mengeksploitasi kerentanan yang sebagian ditangani oleh pembaruan keamanan Juli,” memperingatkan posting blog Microsoft baru.

“Kerentanan ini hanya berlaku untuk server SharePoint di tempat. SharePoint Online di Microsoft 365 tidak terpengaruh.”

Microsoft kini telah merilis pembaruan darurat berikut untuk SharePoint yang memperbaiki kedua kekurangan nol:

• Itu Pembaruan KB5002754 Untuk Microsoft SharePoint Server 2019.
• Itu Pembaruan KB5002768 Untuk Edisi Langganan Microsoft SharePoint.
• Pembaruan untuk Microsoft SharePoint Enterprise Server 2016 belum dirilis.

Namun, perusahaan masih mengerjakan pembaruan keamanan untuk Microsoft SharePoint 2016 dan harus segera dirilis.

“Ya, pembaruan untuk CVE-2025-53770 mencakup perlindungan yang lebih kuat daripada pembaruan untuk CVE-2025-49704. Pembaruan untuk CVE-2025-53771 mencakup perlindungan yang lebih kuat daripada pembaruan untuk CVE-2025-49706,” membaca CVE yang diperbarui Microsoft.

Untuk server SharePoint yang saat ini tidak memiliki tambalan atau tidak dapat menerapkannya segera, Microsoft merekomendasikan agar pelanggan menginstal pembaruan keamanan SharePoint terbaru, aktifkan AMSI integration di SharePoint, dan menggunakan AV bek di semua server SharePoint.

Microsoft AMSI (Antimalware Scan Interface) adalah fitur keamanan yang memungkinkan aplikasi dan layanan untuk meneruskan konten yang berpotensi berbahaya ke solusi antivirus yang diinstal untuk pemindaian waktu nyata. Ini biasanya digunakan untuk memeriksa skrip dan kode dalam memori, membantu mendeteksi dan memblokir ancaman yang dikaburkan atau dinamis.

Microsoft mengatakan bahwa memungkinkan mitigasi ini akan mencegah serangan tanpa otentikasi dari mengeksploitasi cacat.

Perusahaan mencatat bahwa fitur ini diaktifkan secara default sejak pembaruan keamanan September 2023 untuk SharePoint Server 2016/2019 dan pembaruan fitur versi 23H2 untuk edisi berlangganan SharePoint Server.

Microsoft juga menyarankan agar pelanggan memutar tombol mesin ASP.NET server SharePoint mereka setelah menerapkan pembaruan keamanan atau mengaktifkan AMSI, karena hal itu akan mencegah aktor ancaman dari menjalankan perintah pada layanan yang sebelumnya dikompromikan.

Admin SharePoint dapat memutar tombol mesin menggunakan salah satu dari dua metode di bawah ini:

Secara manual melalui PowerShell

Untuk memperbarui tombol mesin menggunakan PowerShell, gunakan cmdlet pembaruan-spmachiney.

Secara manual melalui admin pusat

Memicu pekerjaan timer rotasi kunci mesin dengan melakukan langkah -langkah berikut:

• Arahkan ke Administrasi Pusat lokasi.
• Pergi ke Pemantauan -> Tinjau definisi pekerjaan.
• Cari Pekerjaan rotasi kunci mesin dan pilih Jalankan sekarang.
• Setelah rotasi selesai, restart IIS di semua server SharePoint menggunakan iisreset.exe.

Jika Anda tidak dapat mengaktifkan AMSI, Microsoft mengatakan bahwa server SharePoint harus terputus dari Internet sampai pembaruan keamanan dirilis.

Untuk mendeteksi apakah server SharePoint telah dikompromikan, admin dapat memeriksa apakah C:PROGRA~1COMMON~1MICROS~1WEBSER~116TEMPLATELAYOUTSspinstall0.aspx ada.

Microsoft juga berbagi kueri bek Microsoft 365 berikut yang dapat digunakan untuk memeriksa file ini:

  eviceFileEvents  | where FolderPath has "MICROS~1\WEBSER~1\16\TEMPLATE\LAYOUTS"  | where FileName =~ "spinstall0.aspx"  or FileName has "spinstall0"  | project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine, FileName, FolderPath, ReportId, ActionType, SHA256  | order by Timestamp desc

Setelah menerbitkan artikel ini, CISA menambahkan kerentanan Microsoft SharePoint CVE-2025-53770 ke katalog kerentanan yang diketahui dieksploitasi, memberikan agen federal suatu hari untuk menerapkan tambalan ketika mereka dirilis.

“CISA disadarkan akan eksploitasi oleh mitra tepercaya dan kami menghubungi Microsoft segera untuk mengambil tindakan,” kata asisten direktur eksekutif CISA untuk cybersecurity Chris Butera kepada BleepingComputer.

“Microsoft merespons dengan cepat, dan kami bekerja dengan perusahaan untuk membantu memberi tahu entitas yang berpotensi terkena dampak tentang mitigasi yang direkomendasikan. CISA mendorong semua organisasi dengan server Microsoft SharePoint di lokasi untuk mengambil tindakan langsung yang direkomendasikan.”

BleepingComputer menghubungi Microsoft tadi malam untuk bertanya kapan eksploitasi telah dimulai tetapi diberitahu bahwa mereka tidak memiliki apa pun untuk dibagikan selain dari posting blog mereka.

IOC lebih lanjut dan informasi teknis dari perusahaan cybersecurity lain dibagikan di bawah ini.

Dieksploitasi dalam serangan RCE

Serangan Microsoft SharePoint Zero-Day pertama kali diidentifikasi Oleh perusahaan cybersecurity Belanda Eye Security, yang mengatakan kepada BleepingComputer bahwa lebih dari 29 organisasi telah dikompromikan oleh serangan tersebut.

Eye Security pertama kali mengamati serangan pada 18 Juli setelah menerima peringatan dari salah satu agen EDR pelanggan mereka bahwa proses yang mencurigakan yang terkait dengan file .aspx berbahaya yang diunggah diluncurkan.

Log IIS menunjukkan bahwa permintaan pos telah dibuat _layouts/15/ToolPane.aspx dengan referer HTTP dari /_layouts/signout.aspx.

Setelah diselidiki, bertekad bahwa para aktor ancaman telah mempersenjatai kerentanan alat pwn2own segera setelah kode putih GmbH mereplikasi eksploit dan soroush dalili Berbagi detail teknis lebih lanjut tentang referer web minggu lalu.

“Kami telah mereproduksi ‘Toolshell’, rantai eksploitasi yang tidak terautentikasi untuk CVE-2025-49706 + CVE-2025-49704 yang digunakan oleh @_l0gg untuk pop SharePoint di #PWN2own Berlin 2025, itu benar-benar hanya satu permintaan!,” Kode yang diposting White GmbH ke x.

Sebagai bagian dari eksploitasi, penyerang mengunggah file bernama “spinstall0.aspx,” yang digunakan untuk mencuri konfigurasi mesin mesin Microsoft SharePoint Server, termasuk ValidationKey dan DecryptionKey.

“Sekarang, dengan rantai toolshell (CVE-2025-49706 + CVE-2025-49704), penyerang tampaknya mengekstraksi ValidationKey langsung dari memori atau konfigurasi,” jelas Eye Security.

“Setelah materi kriptografi ini bocor, penyerang dapat membuat muatan __ViewState yang sepenuhnya valid, ditandatangani menggunakan alat yang disebut ysoserial seperti yang ditunjukkan pada contoh di bawah ini.

“Menggunakan ysoserial penyerang dapat menghasilkan token sharePoint yang valid untuk RCE.”

ViewState digunakan oleh ASP.NET, yang Powers SharePoint, untuk mempertahankan keadaan kontrol web antara permintaan web. Namun, jika tidak dilindungi secara memadai atau jika validasi server diekspos, view -state dapat dirusak untuk menyuntikkan kode berbahaya yang dieksekusi di server saat deserialized.

Keamanan Mata CTO Piet Kerkhofs mengatakan kepada BleepingComputer bahwa mereka telah melakukan pemindaian Internet untuk server yang dikompromikan dan menemukan 54 organisasi yang terkena dampak serangan.

“Meskipun kami mengidentifikasi 85+ server SharePoint yang dikompromikan di seluruh dunia, kami dapat mengelompokkannya ke organisasi yang terkena dampak,” kata Kerkhofs kepada BleepingComputer.

Dari 54 organisasi itu, keamanan mata mengatakan ada beberapa entitas multi-nasional dan pemerintah nasional yang dilanggar.

Beberapa di antaranya termasuk universitas swasta di negara bagian California, operator sektor energi swasta di negara bagian California, org kesehatan pemerintah federal, perusahaan teknologi AI swasta, perusahaan fintech swasta di negara bagian New York, dan org pemerintah negara bagian di Florida.

Kerkhofs juga mengatakan kepada BleepingComputer bahwa beberapa vendor firewall berhasil memblokir CVE-2025-49704 muatan yang dilampirkan pada permintaan HTTP Post. Namun, Kerkhofs memperingatkan bahwa jika para penyerang dapat melewati tanda tangan, lebih banyak server SharePoint kemungkinan akan dipukul.

IOC berikut dibagikan untuk membantu para pembela menentukan apakah server SharePoint mereka dikompromikan:

• Eksploitasi dari alamat IP 107.191.58[.]76 dilihat oleh Eye Security pada 18 Juli
• Eksploitasi dari alamat IP 104.238.159[.]149 dilihat oleh Eye Security pada 19 Juli.
• Eksploitasi dari alamat IP 96.9.125[.]147 terlihat oleh Palo Alto Networks.
• Penciptaan C:PROGRA~1COMMON~1MICROS~1WEBSER~116TEMPLATELAYOUTSspinstall0.aspx mengajukan.
• Log IIS yang menunjukkan permintaan pos _layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx dan referensi HTTP _layouts/SignOut.aspx.

Jika keberadaan IOC ini terdeteksi dalam log IIS atau sistem file, administrator harus menganggap server mereka telah dikompromikan dan segera mengambilnya secara offline.

Investigasi lebih lanjut harus dilakukan untuk menentukan apakah aktor ancaman menyebar lebih jauh ke perangkat lain.

Ini adalah cerita yang sedang berkembang dan akan diperbarui saat informasi baru tersedia.

UPDATE 7/20/25 17:44 ET: Diperbarui untuk meningkatkan penghitungan organisasi yang dilanggar dan bahwa CISA memberi agensi suatu hari untuk menerapkan pembaruan keamanan yang akan datang.
UPDATE 7/20/25 18:20 ET: Menambahkan contoh beberapa org yang dilanggar dalam serangan SharePoint.
UPDATE 7/20/25 19:12 ET: Informasi tambahan bahwa sebenarnya ada dua zero-days yang dieksploitasi, keduanya bypass untuk perbaikan asli Microsoft. Juga menambahkan bahwa pembaruan keamanan untuk edisi berlangganan SharePoint telah dirilis.
UPDATE 7/21/25 12:45 ET: Menambahkan tautan ke pembaruan keamanan Microsoft SharePoint 2019.