CVE-2026-58644 — уязвимость удалённого выполнения кода в Microsoft SharePoint, связанная с десериализацией недоверенных данных, уже эксплуатируется в боевых условиях, а для атаки достаточно сетевого доступа неавторизованного злоумышленника, что делает её критичным риском для всех организаций, использующих SharePoint как внутренний или внешне доступный корпоративный портал; приоритетом должно стать немедленное обновление инстансов по рекомендациям Microsoft и ограничение сетевого доступа к SharePoint до завершения работ по устранению уязвимости.
Технические детали уязвимости
Согласно описанию Microsoft Security Response Center, уязвимость CVE-2026-58644 затрагивает Microsoft Office SharePoint и связана с десериализацией недоверенных данных. Ошибка в обработке входящих данных позволяет злоумышленнику по сети передать специально сформированные данные, которые в процессе десериализации приводят к выполнению произвольного кода на сервере SharePoint.
Ключевые характеристики уязвимости, исходя из официального описания:
- тип: удалённое выполнение кода (RCE);
- компонент: Microsoft Office SharePoint;
- основная причина: десериализация недоверенных данных;
- вектор: сетевой, с возможностью эксплуатации неавторизованным атакующим;
- статус по данным Microsoft: эксплуатация обнаружена в актуальных программных версиях.
Десериализация — это преобразование структурированных данных (объектов, сообщений) из текстового или бинарного представления обратно в объекты в памяти. Если механизм десериализации обрабатывает данные, поступающие от клиента, без строгой валидации и ограничения типов, атакующий может внедрить последовательность данных, которая при восстановлении объекта вызовет выполнение нежелательных операций — вплоть до запуска произвольных команд.
В контексте SharePoint это означает, что уязвимый компонент, принимающий данные по сети (например, в теле запроса или в специфическом поле), может стать точкой входа для атак. После успешной эксплуатации код злоумышленника, как правило, выполняется с правами учётной записи пула приложений или сервисной учётной записи SharePoint, что в типовой конфигурации даёт доступ как минимум к содержимому сайтов и часто к более широким ресурсам на сервере.
Факт подтверждённой эксплуатации, зафиксированный Microsoft в карточке уязвимости CVE-2026-58644, выводит её из разряда теоретических рисков: у атакующих уже есть рабочие методы использования ошибки против реальных систем.
Контекст угроз и место в цепочке атаки
Публично доступные корпоративные порталы и системы совместной работы традиционно являются приоритетной целью для злоумышленников. Уязвимость, позволяющая удалённое выполнение кода в SharePoint через сетевой интерфейс без предварительной аутентификации, идеально вписывается в технику Exploit Public-Facing Application (T1190) в MITRE ATT&CK — захват интернет-доступного приложения для получения исходной точки присутствия в инфраструктуре.
Типичный сценарий использования уязвимости этого класса выглядит так:
- автоматизированный сканер находит доступные извне экземпляры SharePoint;
- к каждому из них отправляется набор сгенерированных запросов с вредоносными данными для десериализации;
- при успешной эксплуатации на сервер загружается и запускается загрузчик или «однокомандный» скрипт, обеспечивающий удалённый доступ (обратное подключение, веб-оболочка, внедрение агента управления);
- далее атакующие используют скомпрометированный SharePoint-сервер для разведки доменной среды, кражи данных, развертывания вымогательского ПО или других нагрузок.
Поскольку Microsoft отдельно отметила факт эксплуатации для CVE-2026-58644, можно ожидать как точечные целевые атаки, так и масштабное автоматизированное сканирование, направленное на массовый подбор уязвимых инстансов.
Оценка воздействия на организации
Кто под наибольшим риском:
- организации, публикующие SharePoint в интернет без дополнительного уровня защиты (VPN, шлюзы, строгие политики доступа);
- инфраструктуры, где SharePoint — центральный узел документооборота и интеграций с другими бизнес-системами;
- окружения с избыточными правами сервисных учётных записей SharePoint на уровне домена и файловых ресурсов.
Потенциальные последствия при успешной атаке:
- получение злоумышленником контроля над SharePoint-сервером и всеми размещёнными на нём сайтами и документами;
- компрометация учётных записей пользователей, использующих SharePoint, через подмену контента, внедрение скриптов или фишинговые страницы внутри портала;
- развитие атаки внутрь сети: попытки передвижения по инфраструктуре, установка дополнительных закладок, повышение привилегий;
- остановка бизнес-процессов, завязанных на SharePoint (договоры, заявки, согласования), вплоть до полного простоя отдельных подразделений;
- утечка конфиденциальной информации и персональных данных с последствиями для комплаенса и возможными регуляторными штрафами.
Учитывая, что SharePoint часто интегрирован с почтовыми системами, CRM, ERP и файловыми хранилищами, компрометация этого звена может стать начальной точкой масштабного инцидента, затрагивающего сразу несколько критичных систем.
Практические рекомендации по защите
1. Немедленное обновление уязвимых систем
- Инвентаризируйте все инстансы Microsoft SharePoint (включая тестовые и пилотные среды), особенно те, что имеют сетевую доступность из внешних сегментов или интернета.
- Используйте портал Microsoft для уточнения статуса продуктов и доступных обновлений по CVE-2026-58644. Патч для этой уязвимости следует отнести к высшему приоритету.
- До развёртывания обновлений подготовьте план отката и тестирование на непроизводственных серверах, но не затягивайте с переносом на продуктивные среды.
Для оценки общей критичности и привязки к внутренним процедурам управления уязвимостями можно использовать данные из NVD по CVE-2026-58644, где уязвимость будет классифицирована с точки зрения метрик риска.
2. Снижение поверхности атаки до установки патчей
Если немедленная установка обновлений затруднена (зависимости, окна обслуживания), временно уменьшите доступность уязвимого сервиса:
- ограничьте доступ к SharePoint из интернета: по возможности перенесите доступ во внутренний периметр или за VPN, примените списки разрешённых IP-адресов;
- разместите SharePoint за обратным прокси или шлюзом приложений с включённой проверкой входящего трафика и дополнительной аутентификацией;
- проверьте права сервисных учётных записей SharePoint и IIS: уберите избыточные привилегии, которые могут быть использованы при компрометации сервера;
- активируйте или ужесточите правила средств защиты на уровне сервера (антивирус, EDR), в том числе блокировку запуска неизвестных исполняемых файлов и скриптов из временных и нетипичных каталогов.
3. Обнаружение возможной эксплуатации
Учитывая подтверждённый факт эксплуатации, важно не только закрыть уязвимость, но и проверить, не была ли система уже скомпрометирована.
- Проанализируйте журналы IIS и SharePoint за период, когда уязвимые версии могли быть доступны: ищите аномальные запросы, большие по объёму тела, нестандартные заголовки или повторяющиеся обращения с одних и тех же IP.
- Проверьте системные журналы Windows на предмет:
- нетипичного запуска процессов от имени сервисных учётных записей SharePoint или пула приложений IIS;
- создания новых служб, запланированных задач, изменений в параметрах автозапуска;
- подозрительных операций с файлами в каталогах SharePoint и временных директориях.
- Сравните текущий набор веб-раскладок, решений и расширений в SharePoint с эталонным: появление неизвестных модулей или страниц может указывать на успешную эксплуатацию.
- Если есть система обнаружения вторжений или EDR, настройте поиск по временным интервалам и серверам SharePoint на предмет команд, характерных для послепроникновенной активности (сбор информации о домене, создание новых учётных записей и т. п.).
При обнаружении признаков компрометации следует исходить из предположения о полном захвате сервера, с последующим проведением форензики и, при необходимости, перестроением инстанса из доверенных источников.
4. Долгосрочные меры по управлению риском десериализации
- Внедрите регулярный пересмотр архитектуры и конфигураций серверных приложений на предмет использования механизмов десериализации данных, особенно в компонентах, обрабатывающих внешние запросы.
- Поднимите приоритет уязвимостей, явно связанных с десериализацией недоверенных данных, в политике управления уязвимостями: такие ошибки часто приводят к полному компромиссу узла.
- Обновите учебные материалы и программы повышения осведомлённости для разработчиков и администраторов, фокусируясь на безопасной обработке входящих данных и типичных паттернах эксплуатации десериализации.
Критический вывод по CVE-2026-58644: уязвимость уже используется злоумышленниками против реальных инстансов Microsoft SharePoint, поэтому организациям необходимо в ближайшее окно обслуживания установить исправления, рекомендованные Microsoft, одновременно ограничив внешний доступ к SharePoint и проведя ретроспективный анализ логов и конфигураций серверов на предмет возможной компрометации.
