Microsoft avertizează asupra unei vulnerabilități critice de securitate care afectează serverele SharePoint on-premises, într-un nou val de atacuri informatice la scară globală. Compania a confirmat că breșa de securitate, cunoscută și sub numele de „ToolShell”, a fost exploatată activ de hackeri în atacuri care au vizat servere din întreaga lume, inclusiv ale unor agenții guvernamentale și instituții educaționale, scrie adevarul.ro.
CVE-2025-53770 este o vulnerabilitate de tip „zero-day”, adică era necunoscută până recent de Microsoft și nu avea o soluție de securitate disponibilă la momentul atacului. Potrivit cercetătorilor citați de Forbes, această breșă permite atacatorilor să preia controlul complet asupra serverelor SharePoint, fără autentificare, ocolind sisteme de protecție precum MFA (multi-factor authentication) sau SSO (single sign-on), relatează Forbes.
„Atacatorii pot executa cod de la distanță, accesa fișierele și configurațiile serverelor și se pot deplasa lateral în rețeaua Windows”, au avertizat experții în securitate.
Mize mari: date furate, parole compromise și acces la alte servicii
În contextul în care SharePoint este adesea conectat cu servicii esențiale precum Outlook, Teams sau OneDrive, consecințele unei astfel de breșe pot include furt de date sensibile, colectarea parolelor utilizatorilor, acces neautorizat la conturi și servicii interne, persistența accesului chiar și după aplicarea patch-ului, dacă nu sunt rotite cheile criptografice.
Microsoft avertizează că atacatorii pot folosi cheile furate pentru a se da drept utilizatori legitimi sau servicii, inclusiv după ce serverele sunt actualizate.
Cine a fost vizat
Potrivit datelor obținute până acum, atacurile au vizat agenții federale și statale din SUA, o agenție guvernamentală din Spania, universități din SUA și din alte țări, companii din domeniul energiei, o companie de telecomunicații din Asia
Microsoft a lansat actualizări de securitate de urgență pentru SharePoint Server 2019 și Subscription Edition. O actualizare pentru SharePoint 2016 este în curs de dezvoltare.
„Clienții ar trebui să aplice aceste actualizări imediat pentru a se asigura că sunt protejați”, a transmis compania.
Dacă actualizarea nu poate fi aplicată imediat, Microsoft recomandă deconectarea serverelor de la internet pentru a evita atacuri suplimentare.
CISA cere acțiune în 24 de ore
Agenția americană pentru securitate cibernetică și securitatea infrastructurii (CISA) a inclus vulnerabilitatea în catalogul oficial de amenințări și cere tuturor agențiilor guvernamentale să aplice patch-ul în maximum 24 de ore.