Microsoft зафиксировала эксплуатацию уязвимости повышения привилегий CVE-2026-56164 в Microsoft SharePoint Server, связанной с отсутствующей аутентификацией для критически важной функции, что позволяет удалённому неавторизованному атакующему получить повышенные права по сети. Затронуты серверные развертывания SharePoint, и риск особенно высок там, где SharePoint используется как опорная платформа для документов, рабочих процессов и порталов. Организациям необходимо в приоритетном порядке проверить наличие обновлений по этой уязвимости в Microsoft Security Update Guide и спланировать немедочное развёртывание исправлений.
Технические детали уязвимости CVE-2026-56164
Согласно описанию в официальном advisory Microsoft по CVE-2026-56164, проблема вызвана тем, что для одной из критических функций в Microsoft SharePoint Server отсутствует обязательная проверка аутентификации. Это означает, что:
- уязвимая функциональность доступна по сети;
- для её вызова не требуется действующая учётная запись или сессионный токен;
- неавторизованный злоумышленник может использовать эту функцию для повышения своих привилегий.
По классификации Microsoft, уязвимость относится к классу Elevation of Privilege. В отличие от удалённого выполнения кода, здесь ключевой риск не в запуске произвольного кода, а в том, что злоумышленник может получить права, существенно превышающие его изначальные возможности (в данном случае — полностью без аутентификации).
В карточке уязвимости Microsoft указано, что:
- тип: «Elevation of Privilege Vulnerability»;
- источник угрозы: «Missing authentication for critical function»;
- эксплуатация: «Exploited: Yes» — эксплуатация уже обнаружена в реальных атаках.
Дополнительная запись по этой уязвимости доступна в базе NVD по шаблонному адресу CVE-2026-56164 на сайте NVD, однако на момент подготовки анализа детальные технические параметры (включая оценку CVSS и перечень конкретных версий) могут ещё находиться в процессе наполнения и синхронизации с данными вендора.
Ключевые технические выводы из текущей информации:
- Вектор атаки — сетевой: злоумышленнику достаточно сетевой доступности узла с SharePoint; физический доступ или доступ к хост-операционной системе не требуются.
- Нет требования предварительной компрометации учётной записи:
- Переход от «без прав» к «повышенным привилегиям» происходиt в рамках самого SharePoint-сервера:
Учитывая характер ошибки (отсутствующая аутентификация), можно ожидать, что эксплуатация сводится к формированию специально подготовленного запроса к определённой функции или конечной точке SharePoint. Порог входа для атак обычно значительно ниже, чем для сложных уязвимостей логики или внедрения кода, что повышает риск массовой эксплуатации после появления подробных примеров и инструментов.
Оценка воздействия на организацию
SharePoint традиционно используется как центральная точка для:
- хранения и совместной работы с корпоративными документами;
- автоматизации бизнес-процессов (workflow, задачи, утверждения);
- интеграции с другими корпоративными системами (CRM, ERP, кадровые системы);
- интранет-порталов для сотрудников и партнеров.
Из этого следуют несколько уровней риска при эксплуатации CVE-2026-56164:
- Компрометация конфиденциальности данных.
- Нарушение целостности.
- Операционные сбои.
Отдельно стоит выделить различие рисков для:
- внутренних развертываний SharePoint — основной вектор: злоумышленник уже имеет или получает сетевой доступ во внутренний контур (через VPN, скомпрометированную рабочую станцию, гостевую сеть); уязвимость облегчает переход от «фута в дверь» к контролю над информационной средой;
- публично доступных порталов SharePoint — при выносе веб-узлов в интернет отсутствие аутентификации для критической функции превращает SharePoint в потенциальную первую точку входа во внутреннюю инфраструктуру организации.
Так как Microsoft прямо указывает, что эксплуатация уже обнаружена («Exploited: Yes»), можно говорить о повышенном приоритете реагирования по сравнению с уязвимостями того же класса, для которых отсутствие реальных атак ещё не зафиксировано. Даже без публичной технической детали атакующие, имеющие доступ к патчам и двоичным файлам, могут пытаться реверс-инжинирингом восстановить суть исправления и создать собственный эксплойт.
Практические рекомендации по реагированию
1. Управление уязвимостью и патчинг
- Перейти к записи CVE-2026-56164 в Microsoft Security Update Guide.
- Определить, какие серверы SharePoint присутствуют в инфраструктуре, и сопоставить их версии с перечнем затронутых продуктов в advisory.
- Запланировать ускоренный цикл установки обновлений безопасности для CVE-2026-56164 в приоритете над обычными плановыми окнами обслуживания:
- сначала — серверы, доступные из интернета или из зон с пониженным доверием;
- затем — все остальные серверы SharePoint во внутренних сегментах.
2. Временное снижение экспозиции до установки патчей
Для организаций, где немедленный патчинг технически затруднён, целесообразно рассмотреть временные меры:
- Ограничение сетевой доступности:
- Усиление контроля на уровне веб-шлюзов и WAF:
- Минимизация анонимного доступа:
3. Обнаружение возможной эксплуатации
Так как конкретные индикаторы компрометации для CVE-2026-56164 не опубликованы, разумно сфокусироваться на общих признаках эксплуатации уязвимостей класса «missing authentication for critical function» в SharePoint:
- Логи IIS и SharePoint:
- поиск массовых или аномальных запросов от неаутентифицированных источников к редким или ранее неиспользуемым путям;
- корреляция времени таких запросов с резкими изменениям объёма операций (создание сайтов, изменение разрешений, массовое скачивание документов).
- Аномалии учётных записей и разрешений:
- Поведение сервисных аккаунтов SharePoint:
Даже при отсутствии явных артефактов успешной эксплуатации полезно зафиксировать «базовый уровень» метрик доступа к SharePoint (распределение типов запросов, доли анонимных обращений) до и после патчинга, чтобы последующий анализ отклонений был проще.
4. Приоритезация и дальнейшие шаги
С учётом статуса «Exploited: Yes» и отсутствующей аутентификации для задействованной функции рекомендуется следующий порядок действий:
- В течение ближайших суток:
- В течение 1–3 дней:
- В течение 1 недели:
- После закрытия уязвимости:
Ключевое действие для организаций, использующих Microsoft SharePoint Server, — не откладывая провести инвентаризацию серверов, сопоставить их состояние с advisory по CVE-2026-56164 и в сжатые сроки развернуть соответствующие обновления, одновременно усилив мониторинг неаутентифицированных обращений к SharePoint до завершения патчинга.
