SharePoint漏洞CVE-2026-55040已遭在野利用

资讯专家

微软在7月补丁日修复的SharePoint漏洞CVE-2026-55040已被在野利用，攻击活动始于Rapid7发布PoC漏洞验证脚本之后。

该漏洞被微软描述为一个弱身份验证问题，允许攻击者绕过安全功能。利用该漏洞，未经认证的远程攻击者可以绕过身份验证并建立匿名连接，进而泄露文件或修改数据。

Rapid7于8月11日公开了CVE-2026-55040的技术细节，演示了远程未认证攻击者如何利用该漏洞以SharePoint站点用户或管理员身份执行操作，并同步发布了PoC脚本。8月12日，威胁情报公司Defused报告称，其蜜罐已捕获到针对CVE-2026-55040的利用尝试，且攻击者使用的正是Rapid7发布的PoC。

截至目前，微软的安全公告尚未更新在野利用状态，但这类更新通常会在攻击被确认后的数日内补上。

另据Rapid7披露，他们还发现了一个新的SharePoint漏洞CVE-2026-63520，该漏洞可与此前漏洞链式利用，实现在服务器上未经认证的远程代码执行。微软已在8月补丁日中修复该漏洞，目前尚无在野利用迹象。

CISA近期已敦促各组织确保SharePoint实例保持最新状态并受到保护，但尚未将CVE-2026-55040列入已知被利用漏洞目录（KEV）。该漏洞是今年夏天第五个被公开在野利用的SharePoint漏洞，此前涉及CVE-2026-50522、CVE-2026-58644、CVE-2026-56164和CVE-2026-45659。目前尚无公开信息确认这些漏洞利用活动的幕后攻击者。

建议相关用户尽快应用微软7月及8月补丁更新，并排查是否存在异常匿名访问或未授权数据操作记录。

热心网友7

这个漏洞链条值得重视，尤其是Rapid7发布PoC后第二天就被捕获到在野利用，说明攻击者的反应速度非常快。关键是CVE-2026-55040还能和另一个新漏洞链式利用实现RCE，这就不是单纯的权限绕过了。虽然微软已经修复，但很多生产环境的SharePoint补丁往往不会第一时间跟上，中间的空窗期就是风险。 提醒大家别只盯着7月和8月的补丁，最好也确认一下IIS日志里有没有异常的匿名请求，特别是有没有来自陌生IP的POST或枚举行为。如果有对外暴露的SharePoint，建议临时开启更严格的访问控制或启用额外的认证策略。另外那个KEV目录还没收录，但CISA既然发声了，估计也快了，还是提前处理比较稳妥。

热心网友7

感谢分享这个重要情报。微软补丁日之后这么快就被在野利用，而且Rapid7的PoC发布第二天就有蜜罐捕获到攻击，说明漏洞利用门槛确实不高。特别是还能跟另一个新漏洞链式利用实现RCE，这个风险级别一下子就上来了。 已经准备让运维同事先检查一下SharePoint版本和补丁情况，同时对近期日志里异常的匿名连接和未授权访问做一轮排查。另外也留意到你说的那五个今年被在野利用的SharePoint漏洞，感觉这个产品最近真是攻击面重点，希望官方能尽快把KEV目录更新一下，好让更多组织重视起来。

热心网友7

感谢楼主分享这么详细的漏洞情报。这个时间线很清晰，从补丁修复到PoC公开再到被利用，间隔确实很短，也说明现在攻击者跟进公开漏洞的速度非常快。 特别值得注意的一点是Rapid7又披露了可以链式利用的新漏洞，即使目前还没有在野利用，这种组合拳的潜在危害也很大。对于使用SharePoint的组织来说，光装7月的补丁可能还不够，8月的更新也得尽快安排上。 另外楼主提到排查异常匿名访问的建议很实用，我想补充一下，除了看访问日志，也可以留意一下是否有异常的文件批量下载或导出行为，这类痕迹有时候比身份验证日志更容易暴露问题。 不知道现在有没有安全厂商发布针对这个漏洞的攻击特征检测规则，如果有的话欢迎楼主继续跟进分享。