أعلنت شركة مايكروسوفت في تحديثات Patch Tuesday لشهر يوليو 2026 عن معالجة ثغرة أمنية جديدة في خادم SharePoint تحمل الرمز CVE-2026-55040، بدرجة خطورة 9.1 وفقاً لمقياس CVSS. الثغرة تتعلق بضعف في آلية المصادقة (Authentication)، ما يتيح للمهاجمين تجاوز ميزة أمنية أساسية والتنكر كمستخدمين شرعيين. ووفقاً لمايكروسوفت، فإن استغلال هذه الثغرة قد يسمح بكشف الملفات وتعديل البيانات، لكنه لا يؤثر على توفر النظام بشكل مباشر.
تفاصيل الاستغلال
وفقاً لتقارير Defused Cyber، بدأ المهاجمون بالفعل في استغلال الثغرة بعد نشر كود إثبات المفهوم (PoC) من قبل شركة Rapid7. هذا السيناريو يعكس سرعة انتقال الثغرات المكتشفة حديثاً إلى مرحلة الاستغلال العملي. الثغرة تعتمد على سلسلة من نقاط الضعف في آلية التحقق من رموز JWT، حيث يمكن للمهاجم غير المصرح له تزوير رمز JWT صالح والانتحال كمستخدم أو مدير موقع في SharePoint. التفاصيل التقنية تشير إلى أن الخلل يكمن في طريقتين أساسيتين لمعالجة الرموز:
- SPJsonWebSecurityTokenHandlerV2
- SPJsonWebSecurityBaseTokenHandlerV2 ويتم الاستغلال عبر إرسال رمز JWT يحتوي على “alg: none” في الترويسة الخارجية، ما يلغي الحاجة إلى توقيع، إضافة إلى تمرير بصمة شهادة STS الخاصة بـ SharePoint في الترويسة، وهو ما يسمح بقبول الرمز دون تحقق فعلي.
تداعيات أمنية
الاستغلال الناجح لهذه الثغرة يمكّن المهاجمين من تنفيذ عمليات تعسفية كمستخدمين شرعيين، بما في ذلك الوصول إلى الملفات الحساسة أو تعديل البيانات. وقد رصدت منصة KEVIntel ما لا يقل عن 12 محاولة استغلال منذ 19 يوليو 2026، منها ثماني محاولات في يومي 12 و13 أغسطس، ما يعكس ارتباطاً مباشراً بين نشر كود PoC وزيادة النشاط الهجومي. هذه المحاولات جاءت من ثماني عناوين IP مختلفة موزعة على خمس دول، من بينها هونغ كونغ، اليابان، هولندا، تايوان، والولايات المتحدة.
سياق أوسع
الثغرة CVE-2026-55040 هي الخامسة التي يتم استغلالها في SharePoint خلال عام 2026، بعد ثغرات CVE-2026-45659 و CVE-2026-56164 و CVE-2026-58644 و CVE-2026-50522، ما يعكس حجم التحديات الأمنية التي تواجه المؤسسات في حماية أنظمتها. الخبراء ينصحون بضرورة تحديث الأنظمة بشكل دوري، وتطبيق سياسات أمنية صارمة، بما في ذلك مراقبة حركة الشبكة واستخدام أدوات كشف التهديدات المتقدمة، لتقليل فرص الاستغلال الناجح.
