Уязвимость SharePoint Server, которую Microsoft изначально классифицировала как уязвимость подмены с оценкой CVSS 6.5, на самом деле позволяет аутентифицированное удаленное выполнение кода, согласно полным техническим данным, опубликованным сегодня исследователем Viettel Cyber Security Динь Хо Анх Кхоа.
Уязвимость, CVE-2026-65660, затрагивает SharePoint Server 2016, 2019 и Subscription Edition. Патчи доступны с обновлений безопасности от 11 августа, а Национальная база уязвимостей оценивает ее в 8.8.
В уведомлении Microsoft описывается CVE-2026-65660 как позволяющая авторизованному злоумышленнику выполнять подмену и не присваивает никакого влияния на целостность или доступность. Запись CVE, которую Microsoft публикует отдельно и обновила 11 сентября, называет ту же уязвимость уязвимостью удаленного выполнения кода и утверждает, что она позволяет авторизованному злоумышленнику выполнять код.
Обе записи присваивают CWE-94, уязвимость инъекции кода. Защитники, которые оценили CVE-2026-65660 на основе уведомления, увидели умеренную уязвимость подмены, а не уязвимость выполнения кода с почти максимальной оценкой.
Кхоа является исследователем, который продемонстрировал оригинальную цепочку эксплуатации ToolShell против SharePoint на Pwn2Own Berlin в мае 2025 года. Эта цепочка позже была использована группами, поддерживаемыми китайским государством, и вызвала экстренные патчи от Microsoft.
С тех пор исследователь раскрыл несколько других уязвимостей SharePoint, включая CVE-2026-55040, обход аутентификации, который злоумышленники использовали вскоре после того, как его детали стали публичными в августе.
Последняя уязвимость CVE-2026-65660 связана с тем, как SharePoint проверяет, находятся ли серверные элементы управления в списке SafeControls, фильтре, который предотвращает загрузку опасных классов. Когда компонент ToolPane обрабатывает разметку веб-частей, он восстанавливает директивы Register, записывая значения атрибутов между двойными кавычками без экранирования кавычек внутри них.
Злоумышленник может внедрить дополнительные директивы через неэкранированные кавычки, регистрируя произвольные классы .NET после выполнения проверки типа, но до загрузки элемента управления.
С произвольной загрузкой классов злоумышленник использует XamlServices.Parse(), чтобы инициировать выполнение кода через десериализацию. В описании содержится работающая полезная нагрузка веб-оболочки в памяти, которая избегает ошибок разрешений реестра, с которыми сталкиваются другие методы десериализации, сказал Кхоа.
Исследователь также продемонстрировал, что уязвимость может быть связана с отдельным, уже исправленным обходом аутентификации, чтобы достичь удаленного выполнения кода до аутентификации на серверах, настроенных на разрешение доступа к анонимным страницам. Кхоа говорит, что обход был исправлен в патче от 9 июня, и сервера, которые применили исправление, не подвержены пути до аутентификации.
Не было зарегистрировано эксплуатации CVE-2026-65660 в дикой природе, и уязвимость не находится в каталоге известных эксплуатируемых уязвимостей CISA. Уведомление Microsoft оценивает вероятность эксплуатации как маловероятную, хотя полная разметка эксплуатации теперь публична. Кхоа говорит, что он использовал эксплуатацию в рамках тестирования на проникновение.
Патч от 11 августа исправляет уязвимость и отключает уязвимую функцию по умолчанию, согласно исследователю.
Кхоа говорит, что уязвимость также затрагивает SharePoint 2013, хотя уведомление Microsoft перечисляет только 2016, 2019 и Subscription Edition. SharePoint 2013 не поддерживается с апреля 2023 года и не получает обновлений безопасности.
Нашли эту статью интересной? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.