SharePoint sotto attacco: la falla che Microsoft aveva declassata a semplice "spoofing"

Il 24 settembre alcuni sensori di sicurezza in Regno Unito e Israele hanno iniziato a registrare tentativi di attacco contro server SharePoint aziendali. Il giorno dopo, gli attaccanti stavano già installando webshell per garantirsi un accesso permanente. Nel frattempo l’agenzia statunitense CISA inseriva la falla usata nel suo catalogo delle vulnerabilità sfruttate attivamente, con scadenza di aggiornamento fissata al 28 settembre per le agenzie federali. Quella scadenza è passata ieri.

Cosa è successo

La vulnerabilità si chiama CVE-2026-65660 e riguarda Microsoft SharePoint Server, il software che molte organizzazioni usano per gestire documenti, intranet e collaborazione interna. La patch è disponibile dall'11 agosto, con l’aggiornamento mensile di Microsoft. Il problema è che, all’inizio, Microsoft l’aveva classificata come una falla di “spoofing” di gravità media, punteggio 6.5. Solo in un secondo momento la descrizione è stata corretta: si tratta in realtà di un’esecuzione di codice da remoto, con punteggio 8.8 su 10 secondo il database nazionale statunitense delle vulnerabilità.

Questa sottovalutazione iniziale ha probabilmente convinto molti amministratori a rimandare l’installazione della patch, ritenendola non urgente. Secondo la ricostruzione di The Hacker News, gli attacchi osservati in queste settimane si basano proprio sui dettagli tecnici resi pubblici dopo che un ricercatore vietnamita ne aveva dimostrato lo sfruttamento in un contesto di test autorizzato.

Tecnicamente, il difetto si trova in un componente di SharePoint che gestisce le “web part” della pagina: un errore nella gestione delle virgolette nel codice permette di iniettare istruzioni aggiuntive, registrare classi arbitrarie ed eseguire codice sul server. Basta un account utente normale, anche compromesso tramite un semplice phishing: non serve un profilo amministrativo.

Chi rischia davvero

Qui serve chiarezza, perché il nome “SharePoint” genera facilmente confusione. La falla non riguarda chi usa SharePoint Online all’interno di Microsoft 365, il servizio cloud che la maggior parte delle piccole e medie imprese italiane utilizza oggi. Colpisce invece le installazioni on-premise, cioè i server SharePoint installati e gestiti direttamente dall’organizzazione: le versioni 2016, 2019 e Subscription Edition.

In Security Smart capita ancora di trovare questo scenario in enti pubblici, ASL, scuole e aziende di dimensioni medio-grandi che anni fa hanno costruito la propria intranet documentale su un server SharePoint interno e non l’hanno mai migrata al cloud. Sono installazioni spesso “storiche”, gestite da chi non c’è più in azienda, con aggiornamenti che passano in secondo piano rispetto ad altre urgenze IT.

Il lato GDPR e NIS2

Una intranet documentale contiene quasi sempre dati personali: fascicoli del personale, documentazione di studenti, pratiche di utenti e assistiti, contratti con clienti e fornitori. Un server SharePoint compromesso significa che questi dati sono stati potenzialmente accessibili a un estraneo, con tutto ciò che comporta in termini di valutazione della violazione e, se necessario, notifica al Garante entro 72 ore.

Per gli enti soggetti a NIS2 c’è un ulteriore aggravante: la sottovalutazione iniziale di Microsoft è un promemoria del perché non ci si può fidare ciecamente della classificazione di gravità assegnata da un fornitore. La gestione delle vulnerabilità richiesta dalla normativa presuppone una valutazione autonoma del rischio, non la semplice lettura di un’etichetta.

Cosa fare, in pratica

• Verificate se avete SharePoint installato internamente. Non basta chiedere “usiamo SharePoint?”: bisogna capire se è la versione cloud di Microsoft 365 (non a rischio) o un server installato in azienda o in un data center (a rischio). In caso di dubbio, coinvolgete chi gestisce la vostra infrastruttura IT.
• Aggiornate subito se avete un’installazione on-premise. La patch è disponibile da agosto: se non è ancora stata applicata, è una priorità assoluta, soprattutto per i server raggiungibili da Internet come portali per partner o clienti.
• Cercate segni di compromissione prima e dopo l’aggiornamento. Fatevi verificare dal vostro tecnico i log del server (IIS e ULS) alla ricerca di richieste anomale, e controllate le cartelle applicative per file sospetti creati di recente: gli attaccanti li usano come porta d’accesso permanente.
• Se non potete aggiornare subito, valutate di isolare il server. Se l’installazione è raggiungibile da Internet e la patch non è immediatamente applicabile, meglio limitarne l’esposizione finché non lo è, come già indicato per altri casi simili di questo periodo.
• Rivedete chi ha accesso agli account SharePoint. Dato che basta un account utente normale compromesso, rafforzare l’autenticazione a più fattori su questi sistemi riduce significativamente il rischio di partenza.

Matteo Gianniello — Consulente privacy e cyber security