Американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) добави уязвимост за инжектиране на код в Microsoft SharePoint, проследявана като CVE-2026-65660, към своя каталог KEV (Known Exploited Vulnerabilities), след като бяха предоставени доказателства, че уязвимостта се експлоатира при реални атаки.

Уязвимостта засяга Microsoft SharePoint и би могла да позволи на оторизиран атакуващ да изпълнява отдалечен код по мрежата, което създава значителен риск за организации, разчитащи на SharePoint за управление на документи, съвместна работа и вътрешни бизнес процеси.

CVE-2026-65660 е класифицирана като CWE-94, или „Неправилен контрол при генерирането на код“ (Improper Control of Generation of Code), обикновено наричано инжектиране на код. Тази слабост възниква, когато дадено приложение обработва външно повлиян вход като изпълним код без достатъчна валидация или контроли.

В среда на SharePoint успешната експлоатация би могла да позволи на атакуващ, който вече има оторизиран достъп, да стартира контролиран от него злонамерен код, което потенциално осигурява път за манипулиране на данни, внедряване на зловредни инструменти, осигуряване на трайно присъствие (persistence) или по-дълбоко проникване в корпоративната мрежа.

Според актуализацията на каталога, публикувана от CISA, агенцията добави уязвимостта в Microsoft SharePoint към своя каталог KEV на 25 септември 2026 г. с краен срок за отстраняване на уязвимостта 28 септември 2026 г.

Краткият прозорец за отстраняване отразява спешността, свързана с уязвимости, за които е известно, че се експлоатират активно. Въпреки че CISA не е установила дали CVE-2026-65660 е използвана в кампании с криптовируси (ransomware), агенцията изисква криминалистичен анализ (forensic triage) съгласно Задължителна оперативна директива 26-04, което показва, че засегнатите организации не трябва да третират инсталирането на корекции за сигурност като единствената необходима реакция.

Препоръката е особено актуална за федералните цивилни изпълнителни агенции, които трябва да спазват изискванията на Задължителната оперативна директива на CISA.

Предупреждението обаче трябва да подтикне и организациите от частния сектор да преразгледат с приоритет своите SharePoint среди.

Сървърите на SharePoint могат да съдържат чувствителни вътрешни документи, бизнес записи, данни за проекти, идентификационни данни и интеграции със системи за идентичност, което ги прави ценни цели за киберпрестъпници, търсещи достъп до корпоративни среди.

Microsoft описва CVE-2026-65660 като проблем с инжектиране на код, който може да позволи на оторизиран атакуващ да изпълнява код по мрежата. Условието „оторизиран атакуващ“ означава, че експлоатацията може да изисква валидни идентификационни данни или съществуваща автентифицирана сесия, но това не трябва да намалява възприеманата сериозност.

Авторите на заплахи често получават легитимен потребителски достъп чрез фишинг, повторно използване на пароли, кражба на токени, компрометирани акаунти на трети страни или злоупотреба със слабо защитени сервизни акаунти. Веднъж вътре, дефектът за изпълнение на код в SharePoint може да превърне ограничения достъп по-широк оперативен контрол.

CISA даде указания на организациите да приложат мерки за смекчаване на риска според насоките на производителя Microsoft и да следват изискванията на BOD 26-04 за приоритетно инсталиране на актуализации за сигурност въз основа на риска.

Агенциите и специалистите по сигурност трябва също така да оценят дали засегнатите SharePoint активи са изложени на интернет и да следват приложимите насоки за облачни услуги. Когато не са налични мерки за смекчаване, CISA съветва да се прекрати използването на засегнатия продукт.

Криминалистичният анализ е друга критична част от реакцията. Екипите по сигурност трябва да прегледат регистрационните файлове на събитията (event logs) на SharePoint и Windows, да разследват необичайна автентифицирана активност, да проверят за новосъздадени или модифицирани SharePoint компоненти и да търсят необичайно поведение на web shell, съмнителни дъщерни процеси или аномални изходящи мрежови връзки от SharePoint сървъри.

Дневниците за идентичност (identity logs) също трябва да бъдат прегледани за необичайни влизания, използване на токени, промени в привилегиите и достъп, произхождащ от непознати местоположения или устройства.

Организациите трябва незабавно да идентифицират всички локални (on-premises) и управлявани SharePoint внедрявания, да потвърдят инсталираната версия и да приложат наличните корекции за сигурност или мерки за смекчаване на риска от Microsoft.

Екипите трябва също така да ограничат ненужната излагаемост в интернет, да наложат многофакторна автентификация за администраторски и потребителски достъп, да приложат права с минимални привилегии и внимателно да наблюдават привилегированите акаунти.

Предвид факта, че CISA е обозначила уязвимостта като активно експлоатирана, защитниците трябва да предположат, че неактуализираните SharePoint инстанции могат да бъдат обект на атака, и да потвърдят както отстраняването на уязвимостта, така и липсата на признаци за предишно компрометиране.