Tutti i settorihigh
«Exploitation Less Likely», poi tre giorni per patchare
Microsoft l'aveva classificata «Exploitation Less Likely». Cinque settimane dopo CISA la inseriva nel KEV con tre giorni di tempo per rimediare. Una lezione su quanto valgano le previsioni di sfruttabilità dei vendor.
- Luglio 2025Il precedente
la catena ToolShell (
CVE-2025-53770) colpisce SharePoint on-prem. - 22 maggio 2026La registrazione
NVD registra
CVE-2026-45659. - Fine maggio 2026La patch
Microsoft la rilascia fuori dal ciclo ordinario.
- 1° luglio 2026Il KEV
CISA aggiunge la CVE al catalogo Known Exploited Vulnerabilities.
- 4 luglio 2026La scadenza
tre giorni per rimediare.
L'origine
CVE-2026-45659. CVSS 3.1: 8.8 HIGH, vettore AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. CWE-502: Deserialization of Untrusted Data.
Microsoft ha rilasciato la patch a fine maggio 2026, fuori dal ciclo ordinario, per SharePoint Server Subscription Edition, 2019 e 2016. NVD registra la CVE il 22 maggio. SharePoint Online e Microsoft 365 non sono affetti: il problema è solo on-premises.
Poi, il 1° luglio 2026, CISA la aggiunge al catalogo KEV. Scadenza di rimedio: 4 luglio. Tre giorni.
C'è un precedente che rende la storia meno sorprendente: la catena "ToolShell" (CVE-2025-53770) aveva colpito SharePoint on-prem esattamente un anno prima, nel luglio 2025. Stesso prodotto, stessa stagione.
La catena d'attacco
Qui dobbiamo essere onesti su cosa non sappiamo, perché è la parte più importante del dossier.
La catena TTP usata realmente dagli attaccanti non è pubblica. SecurityWeek, citando direttamente CISA, scrive: "CISA has not shared details on the observed attacks, and there have been no reports of in-the-wild exploitation of the vulnerability before the agency's warning." L'identità degli attaccanti non è stata divulgata. Non ci sono report forensi.
Quello che è confermato viene da Microsoft, ed è già abbastanza:
Un attaccante autenticato con permessi minimi di "Site Member" — non un amministratore, non un privilegio elevato: un utente qualsiasi con accesso a un sito — può innescare la deserializzazione di dati non fidati lato server e ottenere esecuzione di codice remoto.
Microsoft descrive lo sfruttamento come facile: "repeatable success", senza necessità di conoscenza approfondita del sistema.
A livello concettuale, il pattern generico della classe CWE-502 in SharePoint funziona così — e lo descriviamo come classe di vulnerabilità, non come comportamento osservato in questo caso:
- Un payload di dati serializzati viene inviato a un endpoint applicativo
- L'endpoint lo deserializza senza validazione
- La deserializzazione istanzia oggetti .NET scelti dall'attaccante — una gadget chain
- Il codice esegue nel contesto del processo worker IIS (
w3wp.exe)
Ribadiamo: questa è la meccanica della classe, ricostruita per contesto. Non è la catena osservata dagli attaccanti reali, che nessuno ha pubblicato.
Perché "Site Member" cambia tutto
Il requisito di autenticazione fa scendere il CVSS da 9.8 a 8.8. Sulla carta è un'attenuante.
Nella pratica, quanto vale? SharePoint è una intranet. Ha migliaia di utenti. Ha utenti esterni, fornitori, consulenti, ex dipendenti mai disattivati. Ha account di servizio. "Serve un account con privilegi minimi" in un ambiente SharePoint maturo non è una barriera: è una formalità. E chiunque abbia rubato una singola credenziale di un impiegato qualsiasi — con phishing, con un infostealer, comprandola — ha già superato il requisito.
Quel punto in meno di CVSS è più rassicurante di quanto meriti.
Detection
Nessun IOC pubblico è stato rilasciato da CISA o Microsoft per questa CVE. Né hash, né IP, né domini.
Quello che segue è quindi ragionato per analogia con classi di vulnerabilità precedenti su SharePoint, non IOC confermati per CVE-2026-45659. Trattatelo come tale:
- Processi figli anomali generati da
w3wp.exesu server SharePoint. Il worker IIS non ha motivo di lanciarecmd.exeopowershell.exe - Log ULS e IIS: richieste anomale verso endpoint che deserializzano ViewState o oggetti
- File
.aspxo webshell non attesi in cartelle LAYOUTS o percorsi simili — è il pattern classico post-RCE su SharePoint
Rimedi
Applicare l'aggiornamento di sicurezza Microsoft di fine maggio 2026 per le edizioni SharePoint interessate.
Non ci sono mitigazioni parziali documentate. La scadenza BOD 26-04 per gli enti federali USA è passata il 4 luglio; per tutti gli altri, la presenza in KEV significa una cosa sola: sta venendo sfruttata adesso.
Cosa insegna
Il dettaglio più istruttivo non è tecnico, ed emerge solo incrociando due fonti.
Al momento della patch, a fine maggio, Microsoft aveva assegnato a questa CVE la valutazione "Exploitation Less Likely" nel proprio Exploitability Index. Sfruttamento improbabile.
Cinque, sei settimane dopo, CISA confermava lo sfruttamento attivo e imponeva una finestra di rimedio di tre giorni.
Non è un'accusa a Microsoft: prevedere quali vulnerabilità verranno armate è genuinamente difficile, e nessuno lo fa bene. Ma è un promemoria molto concreto per chi prioritizza il patching: "Exploitation Less Likely" non è un permesso di rimandare. È una scommessa, e in questo caso ha perso in poco più di un mese.
Notate anche la contraddizione interna nella valutazione originale: Microsoft descriveva lo sfruttamento come tecnicamente facile (AC:L, "repeatable success") e contemporaneamente come improbabile. Le due cose non sono incompatibili in teoria — una cosa facile può non interessare a nessuno — ma su un prodotto ubiquo come SharePoint on-prem, "facile da sfruttare" e "nessuno lo sfrutterà" era una combinazione ottimistica.
Se dovete scegliere un solo segnale per prioritizzare, la complessità d'attacco e la diffusione del prodotto valgono più della previsione di sfruttabilità del vendor.
