A SharePoint Server sebezhetőségét, amelyet a Microsoft kezdetben spoofing hibaként sorolt be 6,5-ös CVSS pontszámmal, valójában hitelesített távoli kódfuttatásra lehet kihasználni – derül ki a Viettel Cyber Security kutatója, Dinh Ho Anh Khoa által ma közzétett teljes technikai leírásból.

A CVE-2026-65660 azonosítójú hiba a SharePoint Server 2016, 2019 és Subscription Edition kiadásait érinti. A javítócsomagok augusztus 11. óta elérhetők a biztonsági frissítések részeként, a National Vulnerability Database pedig 8,8-as pontszámot adott rá.

A Microsoft közleménye a CVE-2026-65660-at úgy írja le, mint amely lehetővé teszi egy jogosult támadónak spoofing támadás végrehajtását, és nem tulajdonít hatást sem az adatintegritásra, sem a rendelkezésre állásra. A Microsoft által külön publikált, szeptember 11-én frissített CVE-rekord ezzel szemben távoli kódfuttatási sebezhetőségként nevezi meg ugyanazt a hibát, és kimondja, hogy egy jogosult támadó kódot futtathat vele.

Mindkét leírás a CWE-94, azaz kódinjekciós gyengeség kategóriába sorolja a hibát. Azok a védelmi csapatok, amelyek a Microsoft közleménye alapján értékelték a CVE-2026-65660-at, egy közepes súlyú spoofing hibát láttak, nem pedig egy, a maximumhoz közeli pontszámú kódfuttatási sebezhetőséget.

Khoa az a kutató, aki májusban, a Pwn2Own Berlin versenyen bemutatta az eredeti ToolShell exploit láncot a SharePoint ellen. Ezt a láncot később kínai állami hátterű csoportok is kihasználták, ami rendkívüli javítócsomagokat váltott ki a Microsofttól.

A kutató azóta több más SharePoint hibát is nyilvánosságra hozott, köztük a CVE-2026-55040 azonosítójú hitelesítés-megkerülést, amelyet a támadók nem sokkal azután kezdtek kihasználni, hogy augusztusban nyilvánosságra kerültek a részletei.

A legújabb CVE-2026-65660 sebezhetőség abban rejlik, ahogyan a SharePoint ellenőrzi, hogy a szerveroldali vezérlők szerepelnek-e a SafeControls listán, amely szűrőként megakadályozza veszélyes osztályok betöltését. Amikor a ToolPane komponens feldolgozza a webpart jelölést, újraépíti a Register direktívákat úgy, hogy az attribútumértékeket idézőjelek közé írja, de nem escape-eli a bennük lévő idézőjeleket.

A támadó az escape nélküli idézőjeleken keresztül további direktívákat tud beinjektálni, és tetszőleges .NET osztályokat tud regisztrálni azután, hogy lefutott a típusellenőrzés, de még azelőtt, hogy a vezérlő betöltődne.

Ha a támadó tetszőleges osztályokat tölthet be, az XamlServices.Parse() hívással deszerializáción keresztül kódfuttatást tud elérni. A leírás tartalmaz egy működő, memóriában futó webshell payloadot is, amely elkerüli azokat a registry jogosultsági hibákat, amelyek más deszerializációs módszereknél jelentkeznek – mondta Khoa.

A kutató azt is bemutatta, hogy a hibát össze lehet láncolni egy külön, már javított hitelesítés-megkerüléssel, így a névtelen oldalelérést engedélyező szervereken hitelesítés előtti távoli kódfuttatás érhető el. Khoa szerint a megkerülést június 9-én kiadott javítócsomag orvosolta, és azok a szerverek, amelyek telepítették a javítást, nincsenek kitéve a hitelesítés előtti támadási útvonalnak.

A CVE-2026-65660 sebezhetőség kihasználásáról eddig nem érkezett jelentés, és nem szerepel a CISA ismerten kihasznált sebezhetőségeket felsoroló katalógusában sem. A Microsoft biztonsági közleménye szerint a kihasználás valószínűtlen, bár a teljes exploit markup már nyilvános. Khoa elmondása szerint a sebezhetőséget behatolásteszteken használta.

A kutató szerint az augusztus 11-i javítócsomag kijavítja a hibát, és alapértelmezetten kikapcsolja a sebezhető funkciót.

Khoa azt is állítja, hogy a sebezhetőség érinti a SharePoint 2013-at is, noha a Microsoft közleménye csak a 2016-os, a 2019-es és a Subscription Edition kiadásokat sorolja fel. A SharePoint 2013 2023 áprilisa óta kikerült a támogatásból, és nem kap biztonsági frissítéseket.