CVE-2026-58644 — вразливість віддаленого виконання коду в Microsoft SharePoint, пов’язана з десеріалізацією недовірених даних, уже експлуатується в бойових умовах, а для атаки достатньо мережевого доступу неавторизованого зловмисника, що робить її критичним ризиком для всіх організацій, які використовують SharePoint як внутрішній або зовні доступний корпоративний портал; пріоритетом має стати негайне оновлення інстансів за рекомендаціями Microsoft і обмеження мережевого доступу до SharePoint до завершення робіт з усунення вразливості.
Технічні деталі вразливості
Згідно з описом Microsoft Security Response Center, вразливість CVE-2026-58644 зачіпає Microsoft Office SharePoint і пов’язана з десеріалізацією недовірених даних. Помилка в обробці вхідних даних дає змогу зловмиснику передати мережею спеціально сформовані дані, які в процесі десеріалізації призводять до виконання довільного коду на сервері SharePoint.
Ключові характеристики вразливості, виходячи з офіційного опису:
- тип: віддалене виконання коду (RCE);
- компонент: Microsoft Office SharePoint;
- основна причина: десеріалізація недовірених даних;
- вектор: мережевий, з можливістю експлуатації неавторизованим атакувальником;
- статус за даними Microsoft: виявлено експлуатацію в актуальних програмних версіях.
Десеріалізація — це перетворення структурованих даних (об’єктів, повідомлень) з текстового або бінарного подання назад в об’єкти в пам’яті. Якщо механізм десеріалізації обробляє дані, що надходять від клієнта, без суворої валідації та обмеження типів, зловмисник може впровадити послідовність даних, яка під час відновлення об’єкта спричинить виконання небажаних операцій — аж до запуску довільних команд.
У контексті SharePoint це означає, що вразливий компонент, який приймає дані по мережі (наприклад, у тілі запиту або в специфічному полі), може стати точкою входу для атак. Після успішної експлуатації код зловмисника, як правило, виконується з правами облікового запису пулу застосунків або сервісного облікового запису SharePoint, що в типовій конфігурації дає доступ щонайменше до вмісту сайтів і часто до ширших ресурсів на сервері.
Факт підтвердженої експлуатації, зафіксований Microsoft у картці вразливості CVE-2026-58644, виводить її з розряду теоретичних ризиків: у зловмисників уже є робочі методи використання цієї помилки проти реальних систем.
Контекст загроз і місце в ланцюжку атаки
Публічно доступні корпоративні портали та системи спільної роботи традиційно є пріоритетною ціллю для зловмисників. Вразливість, що дає змогу віддалене виконання коду в SharePoint через мережевий інтерфейс без попередньої автентифікації, ідеально вписується в техніку Exploit Public-Facing Application (T1190) у MITRE ATT&CK — захоплення інтернет-доступного застосунку для отримання початкової точки присутності в інфраструктурі.
Типовий сценарій використання вразливості такого класу виглядає так:
- автоматизований сканер знаходить доступні ззовні екземпляри SharePoint;
- кожному з них надсилається набір згенерованих запитів зі шкідливими даними для десеріалізації;
- у разі успішної експлуатації на сервер завантажується і запускається завантажувач або «однокомандний» скрипт, що забезпечує віддалений доступ (зворотне підключення, веб-оболонка, впровадження керувального агента);
- далі зловмисники використовують скомпрометований SharePoint-сервер для розвідки доменного середовища, викрадення даних, розгортання програмного забезпечення-вимагача чи інших навантажень.
Оскільки Microsoft окремо відзначила факт експлуатації для CVE-2026-58644, можна очікувати як точкові цільові атаки, так і масштабне автоматизоване сканування, спрямоване на масовий підбір вразливих інстансів.
Оцінка впливу на організації
Хто під найбільшим ризиком:
- організації, що публікують SharePoint в інтернет без додаткового рівня захисту (VPN, шлюзи, суворі політики доступу);
- інфраструктури, де SharePoint — центральний вузол документообігу та інтеграцій з іншими бізнес-системами;
- середовища з надмірними правами сервісних облікових записів SharePoint на рівні домену та файлових ресурсів.
Потенційні наслідки у разі успішної атаки:
- отримання зловмисником контролю над SharePoint-сервером і всіма розміщеними на ньому сайтами та документами;
- компрометація облікових записів користувачів, які використовують SharePoint, через підміну контенту, впровадження скриптів або фішингові сторінки всередині порталу;
- розвиток атаки вглиб мережі: спроби переміщення по інфраструктурі, встановлення додаткових закладок, підвищення привілеїв;
- зупинка бізнес-процесів, зав’язаних на SharePoint (договори, заявки, погодження), аж до повного простою окремих підрозділів;
- витік конфіденційної інформації та персональних даних із наслідками для комплаєнсу й можливими регуляторними штрафами.
Беручи до уваги, що SharePoint часто інтегрований з поштовими системами, CRM, ERP та файловими сховищами, компрометація цієї ланки може стати початковою точкою масштабного інциденту, який зачіпає одразу кілька критичних систем.
Практичні рекомендації щодо захисту
1. Негайне оновлення вразливих систем
- Проведіть інвентаризацію всіх інстансів Microsoft SharePoint (включно з тестовими та пілотними середовищами), особливо тих, що мають мережеву доступність із зовнішніх сегментів або інтернету.
- Використовуйте портал Microsoft для уточнення статусу продуктів і доступних оновлень щодо CVE-2026-58644. Патч для цієї вразливості слід віднести до найвищого пріоритету.
- До розгортання оновлень підготуйте план відкату і тестування на непроєкційних серверах, але не затягуйте з перенесенням на продуктивні середовища.
Для оцінки загальної критичності та прив’язки до внутрішніх процедур управління вразливостями можна використати дані з NVD щодо CVE-2026-58644, де вразливість буде класифікована з погляду метрик ризику.
2. Зменшення поверхні атаки до встановлення патчів
Якщо негайне встановлення оновлень ускладнене (залежності, вікна обслуговування), тимчасово зменшіть доступність вразливого сервісу:
- обмежте доступ до SharePoint з інтернету: за можливості перенесіть доступ у внутрішній периметр або за VPN, застосуйте списки дозволених IP-адрес;
- розмістіть SharePoint за зворотним проксі або шлюзом застосунків із увімкненою перевіркою вхідного трафіку та додатковою автентифікацією;
- перевірте права сервісних облікових записів SharePoint та IIS: приберіть надмірні привілеї, які можуть бути використані у разі компрометації сервера;
- активуйте або посильте правила засобів захисту на рівні сервера (антивірус, EDR), зокрема блокування запуску невідомих виконуваних файлів і скриптів з тимчасових і нетипових каталогів.
3. Виявлення можливої експлуатації
З огляду на підтверджений факт експлуатації, важливо не лише закрити вразливість, а й перевірити, чи не була система вже скомпрометована.
- Проаналізуйте журнали IIS і SharePoint за період, коли вразливі версії могли бути доступні: шукайте аномальні запити, великі за обсягом тіла, нестандартні заголовки або повторювані звернення з одних і тих самих IP.
- Перевірте системні журнали Windows на предмет:
- нетипового запуску процесів від імені сервісних облікових записів SharePoint або пулу застосунків IIS;
- створення нових служб, запланованих завдань, змін у параметрах автозапуску;
- підозрілих операцій із файлами в каталогах SharePoint і тимчасових директоріях.
- Порівняйте поточний набір веб-розкладок, рішень і розширень у SharePoint з еталонним: поява невідомих модулів або сторінок може вказувати на успішну експлуатацію.
- Якщо є система виявлення вторгнень або EDR, налаштуйте пошук за часовими інтервалами та серверами SharePoint на предмет команд, характерних для активності після проникнення (збирання інформації про домен, створення нових облікових записів тощо).
У разі виявлення ознак компрометації слід виходити з припущення про повне захоплення сервера, з подальшим проведенням форензіки і, за потреби, відновленням інстанса з довірених джерел.
4. Довгострокові заходи з управління ризиком десеріалізації
- Запровадьте регулярний перегляд архітектури й конфігурацій серверних застосунків на предмет використання механізмів десеріалізації даних, особливо в компонентах, що обробляють зовнішні запити.
- Підвищте пріоритет вразливостей, явно пов’язаних із десеріалізацією недовірених даних, у політиці управління вразливостями: такі помилки часто призводять до повного компромісу вузла.
- Оновіть навчальні матеріали й програми підвищення обізнаності для розробників та адміністраторів, фокусуючись на безпечній обробці вхідних даних і типових патернах експлуатації десеріалізації.
Критичний висновок щодо CVE-2026-58644: вразливість уже використовується зловмисниками проти реальних інстансів Microsoft SharePoint, тому організаціям необхідно в найближче вікно обслуговування встановити виправлення, рекомендовані Microsoft, одночасно обмеживши зовнішній доступ до SharePoint і провівши ретроспективний аналіз журналів і конфігурацій серверів на предмет можливої компрометації.
