Microsoft потвърди за уязвимост от висока степен на опасност за отдалечено изпълнение на код (RCE) в локалния SharePoint Server, която позволява на автентикиран атакуващ с ниски привилегии да изпълнява произволен код по мрежата без необходимост от взаимодействие с потребителя.

Проследявана като CVE-2026-65660, тази уязвимост за инжектиране на код има CVSS оценка от 8.8 и засяга SharePoint Server 2016, SharePoint Server 2019 и SharePoint Server Subscription Edition.

Тъй като сървърите SharePoint съхраняват чувствителни документи и работят с привилегировани сервизни профили, успешното експлоатиране може да осигури на атакуващите възможност за кражба на идентификационни данни, странично движение (lateral movement), екстфилтрация на данни и персистентен достъп в инфраструктурата.

Уязвимостта е открита от изследователя Дин Хо Ан Кхоа от Viettel Cyber Security, който я описва като поредното заобикаляне на защитата SafeControls в SharePoint.

SafeControls е проектирана да спира инстанцирането на ненадеждни класове от страната на сървъра, докато SharePoint парсира маркиранията на страниците и Web Part компонентите.

Проблемът става експлоатируем, когато компонентът ToolPane обработва контролирани от атакуващия директиви Register, използвани за съпоставяне на префикси на тагове към ASP.NET контроли.

Според техническия анализ, публикуван от Viettel Cyber Security, ToolPane първо отделя директивите Register от маркирането на контролите и валидира техните имена на типове. След това SharePoint реконструира тези директиви, като поставя стойностите на атрибутите в двойни кавички.

Тъй като вградените кавички не се ескейпват безопасно, злонамерена стойност може да промени реконструираната директива — концептуално подобно на уязвимост за инжектиране — и да въведе друга директива след съответната проверка за безопасност, но преди ASP.NET да парсира контролата.

Тази грешка в последователността позволява на атакуващ да регистрира иначе опасни .NET класове и да достигне до гаджети за изпълнение на код. Кхоа демострира верига, включваща XamlServices.Parse(), генеричен тип ExpandedWrapper, ObjectDataProvider и десериализация с LosFormatter.

Вместо да записва конвенционален webshell на диска, тази техника може да създаде webshell в оперативната памет, потенциално намалявайки явните следи във файловата система и затруднявайки реагирането на инциденти.

Публикуваното изследване съдържа работещо маркиране за експлоатация, което значително намалява прага за възпроизвеждане на атаката.

От Microsoft заявяват, че експлоатирането изисква автентикация и само достъп от ниско ниво. Изследователят обаче показва, че CVE-2026-65660 може да се комбинира с отделна слабост в автентикацията на ToolPane за постигане на RCE преди автентикация (pre-authentication RCE), когато внедряването на SharePoint позволява анонимен достъп до подходящи страници.

Съобщава се, че този анонимен маршрут е затворен с актуализацията на Microsoft от 9 юни 2026 г., което означава, че защитените системи не би трябвало да са изложени на същата верига преди автентикация.

Microsoft пусна корекции за сигурност на 11 август 2026 г. Коригираните версии са 16.0.5565.1001 за SharePoint 2016, 16.0.10417.20198 за SharePoint 2019 и 16.0.19725.20522 за Subscription Edition.

Указанията на Microsoft изискват действие от страна на клиентите и отбелязват, че организациите трябва да инсталират всеки приложим пакет с актуализации; администраторите на SharePoint 2016 може да се наложи да инсталират и двата посочени пакета.

Изследователят съобщава също,телно че базовата техника засяга и SharePoint 2013, чиято поддръжка приключи през април 2023 г., въпреки че официалният списък на Microsoft с засегнати продукти включва само поддържаните версии 2016, 2019 и Subscription Edition.

Организациите, които все още използват SharePoint 2013, трябва да разглеждат миграцията или изолацията като спешна задача, вместо да чакат корекция за сигурност, която е малко вероятно да бъде предоставена.

Към момента на публикацията от Microsoft заявяват, че CVE-2026-65660 не е била публично разкрита или експлоатирана, и оценяват вероятността за експлоатация като по-ниска. Тази оценка вече подлежи на преразглеждане, тъй като подробните технически материали са публично достъпни.

Администраторите трябва незабавно да инсталират корекции за сигурност, да ограничат интернет и анонимния достъп, да одитират акаунтите с ниски привилегии и да търсят съмнителни POST заявки, съдържащи необичайно Web Part маркиране или кодиран XAML.

Екипите за реагиране на инциденти трябва също да анализират поведението на работните процеси (worker processes), неочаквани дъщерни процеси, аномални библиотеки (assemblies) и оперативната памет, тъй като имплантът в паметта може да не остави webshell файл на диска.

Те трябва също така да запазят телеметрията от IIS, ULS, Windows събития, PowerShell и крайните точки, преди да рестартират компрометираните SharePoint сървъри по време на разследването.