Microsoft SharePoint Server (ToolShell): esecuzione di codice da remoto sui server on-premises

Cosa può fare

Un attaccante su Internet può installare codice sul server SharePoint, rubare le chiavi crittografiche del sito e usarle per rientrare anche dopo l'installazione della patch, se le chiavi non vengono cambiate.

Cosa mette in pericolo

Documenti e dati archiviati in SharePoint, il server stesso e i sistemi collegati, come Active Directory e altre applicazioni interne.

Chi è colpito

Microsoft SharePoint Server Subscription Edition, SharePoint Server 2019 e SharePoint Enterprise Server 2016 installati on-premises (SharePoint Online di Microsoft 365 non è interessato)

• Installare gli aggiornamenti di sicurezza Microsoft: KB5002768 (Subscription Edition), KB5002754 (2019), KB5002760 (2016) o cumulativi successivi
• Abilitare l'integrazione AMSI in SharePoint e Microsoft Defender Antivirus su tutti i server SharePoint
• Dopo la patch, ruotare le chiavi ASP.NET machine key e riavviare IIS
• Ridurre l'esposizione su Internet dei server SharePoint e verificare la presenza di indicatori di compromissione
• SharePoint 2010 e 2013 sono fuori supporto: pianificare la migrazione

• Microsoft MSRC – CVE-2025-53770
• CISA – Microsoft Releases Guidance on Exploitation of SharePoint Vulnerability (CVE-2025-53770)
• CISA Known Exploited Vulnerabilities – CVE-2025-53770
• Eye Security – SharePoint under siege

← Più recente · Precedente → · Tutti i threat alert