מיקרוסופט תיקנה חולשה בשרתי SharePoint המותקנים בארגון, שמאפשרת למשתמש בעל חשבון קיים להריץ קוד על השרת. ההבדל בין מה שמשתמש כזה אמור להיות מסוגל לעשות לבין מה שהחולשה מאפשרת הוא בדיוק מה שהופך אותה לחמורה. היא כבר מנוצלת בשטח.
מה החולשה?
גם כאן מדובר בדה-סריאליזציה, התהליך שבו רצף בייטים שהגיע מבחוץ הופך בחזרה לאובייקט חי בזיכרון של התוכנה. כשהתוכנה עושה את זה על נתונים שלא בדקה, תוקף יכול לבנות רצף שמתאר אובייקט שמפעיל פעולות לפי בחירתו.
הנקודה שמייחדת את החולשה הזאת היא הדרישה המוקדמת: התוקף צריך הרשאה כלשהי במערכת. זה נשמע כמו הגנה, ובפועל זה חסם נמוך יותר ממה שנדמה. חשבון של עובד זוטר, חשבון של ספק חיצוני או חשבון שנגנב בפישינג מספיקים כדי לעבור את הסף.
מכאן מתחיל החלק המסוכן. השרת מריץ את הקוד בהרשאות שלו עצמו, לא בהרשאות של המשתמש ששלח את הבקשה. כך מישהו עם גישה מוגבלת הופך לבעל שליטה על השרת ועל מה שנמצא עליו.
מי מושפע?
ארגונים שמריצים SharePoint Server 2016 או 2019, ובנייה מוקדמת מ-16.0.19725.20280.
זאת חולשה שנוגעת לארגונים שמחזיקים את השרת אצלם. אם אתם עובדים במקום כזה, המשמעות המעשית היא שכל חשבון בארגון, כולל חשבונות עם הרשאות נמוכות, הוא נקודת פתיחה אפשרית לתוקף.
האם מנוצלת בפועל?
כן. החולשה נכנסה ב-1 ביולי 2026 לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע על ניצול שלהן בשטח.
חולשה שדורשת הרשאות אינה בהכרח מטרה פחות אטרקטיבית. תוקפים שכבר השיגו דריסת רגל בארגון, למשל דרך סיסמה שנגנבה, מחפשים בדיוק את השלב הזה כדי להתקדם פנימה.
מה עושים?
התקינו את העדכון של מיקרוסופט. הפרטים נמצאים בדף החולשה, והבנייה המתוקנת היא 16.0.19725.20280 ומעלה.
מכיוון שנקודת הפתיחה כאן היא חשבון קיים, שווה לטפל גם בצד הזה: בדקו אילו חשבונות עדיין פעילים ולא צריכים להיות, במיוחד של עובדים שעזבו ושל ספקים חיצוניים.
אם השרת לא עודכן במשך תקופה, אל תניחו שהעדכון סוגר את הסיפור. בדקו בלוגים פעילות חריגה של חשבונות רגילים, כמו בקשות בשעות לא סבירות או גישה לאזורים שאותו משתמש לא נוגע בהם בדרך כלל.