Критическая RCE-уязвимость SharePoint: CISA требует срочно обновиться

Коротко: 1 июля 2026 года CISA внесла уязвимость CVE-2026-45659 в локальном Microsoft SharePoint Server в каталог активно эксплуатируемых. Это RCE-брешь с оценкой CVSS 8.8, вызванная небезопасной десериализацией данных: аутентифицированный пользователь с минимальными правами может выполнить произвольный код на сервере. Патч Microsoft выпустила ещё в мае — его нужно срочно установить.

Что произошло

1 июля 2026 года Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило уязвимость CVE-2026-45659 в свой каталог известных эксплуатируемых уязвимостей (Known Exploited Vulnerabilities, KEV). Попадание в этот список означает, что брешь не просто теоретическая — её уже применяют в реальных атаках. Федеральным гражданским ведомствам США предписали устранить проблему в сжатый срок — до 4 июля 2026 года.

Уязвимость затрагивает локальные (on-premises) версии Microsoft SharePoint Server: Subscription Edition, SharePoint Server 2019 и SharePoint Enterprise Server 2016. Облачный SharePoint Online в составе Microsoft 365 обновляется на стороне вендора и в списке уязвимых редакций не значится. Саму заплатку Microsoft выпустила ещё в майском наборе обновлений безопасности 2026 года — то есть патч доступен уже несколько недель, но установили его далеко не все.

В чём суть уязвимости CVE-2026-45659

По классификации это удалённое выполнение кода (RCE) из-за небезопасной десериализации недоверенных данных (CWE-502). Уязвимости присвоена оценка CVSS 8.8 — высокий уровень опасности. Десериализация — это восстановление объекта из потока байтов; если приложение доверяет входным данным и не проверяет их, злоумышленник может подсунуть специально сформированный объект, который при «распаковке» на сервере превращается в исполняемый код.

Ключевая деталь, которая делает брешь особенно неприятной: для атаки достаточно быть аутентифицированным пользователем с минимальными правами — уровня «участник сайта» (Site Member). Никаких прав администратора не требуется, взаимодействие жертвы тоже не нужно — вектор сетевой. В своём бюллетене Microsoft отмечает, что атакующему «не нужно глубокое знание системы, и он может добиваться повторяемого успеха» — то есть эксплуатация надёжна и воспроизводима. Показательно, что изначально риск эксплуатации в компании оценивали как «менее вероятный», однако реальность оказалась иной, и уязвимость попала в KEV.

Что это значит для работы с файлами и документами

SharePoint для многих организаций — центральный узел, через который проходят рабочие файлы: документы Word, таблицы, презентации, PDF и вложения. Компрометация такого сервера — это не абстрактная «дыра в софте», а прямой риск утечки или шифрования всей базы документов компании. Именно поэтому за подобными уязвимостями охотятся в первую очередь: один сервер открывает доступ к тысячам файлов сразу.

Для рядового пользователя вывод практический: там, где документы хранятся и передаются централизованно, безопасность зависит не только от вас, но и от того, насколько быстро администраторы закрывают известные бреши. Если вы отвечаете за обмен файлами в команде, полезно пересмотреть, где и как хранятся общие документы, — об этом мы писали в материале про передачу больших файлов в команде. А базовые правила гигиены при работе с загрузками и вложениями собраны в разделе безопасность файлов.

Что делать прямо сейчас

1. Если в вашей организации используется локальный SharePoint Server (Subscription Edition, 2019 или Enterprise 2016) — убедитесь, что установлены обновления безопасности от мая 2026 года или новее.
2. Проверьте журналы на признаки подозрительной активности: необычные процессы, новые учётные записи с расширенными правами, следы использования легитимных инструментов удалённого доступа.
3. Ограничьте и ревизуйте права пользователей: раз для атаки хватает уровня «участник сайта», лишние доступы стоит убрать по принципу минимальных привилегий.
4. Пользователям SharePoint Online (Microsoft 365) отдельных действий не требуется — облачные редакции обновляет вендор.
5. Не храните критичные документы в единственной системе без резервных копий: при инциденте бэкап часто оказывается последней линией обороны.

Общий принцип неизменен: системы, через которые проходят ваши файлы и документы, — привлекательная мишень. Своевременное обновление серверов и разумная раздача прав закрывают большинство подобных векторов ещё до того, как они превратятся в инцидент.

Источники

• CISA — Known Exploited Vulnerabilities Catalog (CVE-2026-45659)
• The Hacker News — SharePoint RCE CVE-2026-45659 Added to CISA KEV
• SecurityWeek — CISA Warns of Actively Exploited Microsoft SharePoint Vulnerability