Dua celah SharePoint kini dirangkai—8.700 server terlihat di internet

Pada 26 Agustus 2026, penyerang dilaporkan mulai menguji CVE-2026-55040 dan CVE-2026-63520 secara berurutan terhadap honeypot SharePoint. Ringkasan BleepingComputer atas telemetri Defused dan Shadowserver mencatat bypass JWT, enumerasi administratif, probing Business Data Catalog, serta lebih dari 8.700 server SharePoint yang terlihat di internet.

Statusnya belum sama dengan keberhasilan pengambilalihan server: honeypot itu tidak mencatat eksekusi kode dari rangkaian yang diuji. Angka 8.700 juga mengukur layanan yang dapat dilihat dari internet, bukan jumlah server yang rentan, sudah ditembus, atau berada di Indonesia.

Apa yang benar-benar terlihat pada honeypot

Aktivitas pada 25 Agustus menunjukkan bahwa pelaku tidak lagi menguji kedua celah sebagai jalur yang sepenuhnya terpisah. CVE-2026-55040 digunakan untuk melewati pemeriksaan JWT, kemudian diikuti enumerasi area administratif dan pemeriksaan terhadap Business Data Catalog di balik tahap kedua.

Urutan itu merupakan bukti probing terhadap rantai eksploitasi, tetapi bukan bukti bahwa tahap akhirnya berhasil. Pemisahan statusnya adalah sebagai berikut:

• Teramati: upaya bypass autentikasi JWT dengan CVE-2026-55040.
• Teramati: enumerasi administratif setelah bypass.
• Teramati: probing terhadap Business Data Catalog yang berkaitan dengan jalur CVE-2026-63520.
• Terbukti di lingkungan riset: kedua celah dapat dirangkai hingga menghasilkan remote code execution pada server yang rentan.
• Belum teramati pada honeypot tersebut: proses atau perintah baru sebagai hasil akhir eksploitasi.

Perbedaan ini penting karena probing hanya membuktikan bahwa penyerang mengetahui dan mencoba jalur teknisnya. Keberhasilan RCE memerlukan bukti dari host—misalnya proses yang dibuat oleh layanan SharePoint, perubahan sistem, atau artefak muatan—yang tidak terdapat dalam laporan honeypot itu.

Dari JWT palsu menuju Business Connectivity Services

CVE-2026-55040 berada pada alur validasi JSON Web Token SharePoint. Dengan informasi identitas yang sesuai, seperti SID pengguna atau UPN pada konfigurasi tertentu, penyerang tanpa autentikasi dapat membuat token yang diterima aplikasi dan bertindak sebagai pengguna situs; dampaknya mencakup hak administrator jika identitas berprivilege menjadi sasaran.

Hak akses tersebut membuka permukaan yang biasanya hanya tersedia setelah login. Analisis dan demonstrasi VulnCheck pada 24 Agustus merangkai token palsu itu dengan CVE-2026-63520, mengunggah model Business Data Connectivity yang menyalahgunakan instansiasi tipe .NET, lalu memicu muatan melalui external list hingga kode berjalan pada server uji yang rentan.

1. Penyerang memperoleh SID atau informasi identitas lain yang cocok dengan konfigurasi target.
2. CVE-2026-55040 dipakai untuk membuat JWT dan masuk sebagai identitas tersebut.
3. JWT beserta request digest memberi akses untuk membuat pustaka BusinessDataMetadataCatalog dan mengunggah model BDC.
4. Model tersebut mengarahkan Business Connectivity Services ke tipe dan metode .NET yang tidak aman.
5. Permintaan terhadap external list memicu metode dalam model dan dapat menghasilkan RCE.

Demonstrasi itu membuktikan dampak maksimum rantai, bukan keberhasilan setiap percobaan yang terlihat di internet. VulnCheck juga menghitung sedikitnya 8.500 server setelah membuang banyak honeypot dan melakukan deduplikasi; angka itu memakai metodologi berbeda dari hitungan lebih dari 8.700 yang dikutip dalam laporan berita, dan keduanya tetap menggambarkan keterpaparan, bukan jumlah korban.

Patch seluruh farm dan kurangi paparan internet

Prioritas perlindungan berada pada SharePoint Server on-premises yang dikelola organisasi. Memasang pembaruan hanya pada satu front-end belum cukup apabila anggota farm, node aplikasi, atau server pemulihan bencana masih menjalankan build terdampak.

Peringatan resmi CSA Singapura tertanggal 28 Agustus menyebut versi terdampak sebagai SharePoint Server Subscription Edition sebelum 16.0.19725.20522, SharePoint Server 2019 sebelum 16.0.10417.20198, dan SharePoint Server 2016 Enterprise sebelum 16.0.5565.1001, serta meminta administrator segera memperbarui sistem.

Urutan mitigasi yang sejalan dengan jalur serangannya ialah:

1. Perbarui kedua komponen celah pada seluruh anggota farm, lalu selesaikan langkah konfigurasi pascapemasangan yang diwajibkan dalam prosedur pembaruan SharePoint organisasi.
2. Hentikan paparan langsung ke internet jika tidak diperlukan. Tempatkan akses eksternal di belakang VPN, gateway, reverse proxy, atau allowlist yang dikelola.
3. Audit Business Connectivity Services untuk mencari pustaka BusinessDataMetadataCatalog, model BDC, external list, atau perubahan izin yang tidak sesuai dengan catatan perubahan.
4. Periksa log autentikasi, HTTP, dan host untuk JWT tidak wajar, enumerasi administratif, unggahan BDCM, permintaan ProcessQuery, serta proses yang dijalankan oleh akun layanan SharePoint.
5. Tangani jejak eksploitasi sebagai insiden. Patch menutup celah, tetapi tidak menghapus persistensi atau perubahan yang mungkin dibuat sebelum pembaruan dipasang.

Batas kepastian setelah peringatan eksploitasi aktif

Peringatan CSA yang terbit dua hari setelah laporan honeypot menyebut kedua kerentanan dilaporkan aktif dieksploitasi dan PoC telah tersedia. Pernyataan itu memperkuat urgensi penambalan, tetapi tidak merinci apakah eksploitasi yang dimaksud merupakan rantai lengkap yang mencapai RCE atau aktivitas terhadap masing-masing CVE.

Dengan demikian, tiga kesimpulan dapat dipertahankan: rantai RCE dapat direproduksi di lingkungan riset, urutan bypass dan probing tahap kedua sudah terlihat pada honeypot, dan ribuan layanan SharePoint masih dapat ditemukan dari internet. Yang belum diketahui ialah berapa banyak server terlihat yang masih memakai build rentan, berapa yang telah dikompromikan, dan apakah percobaan pada honeypot yang dilaporkan pernah melampaui probing hingga eksekusi kode.

Baca juga:

• Memori Claude kini menyatu dengan Cowork—dan aktif secara bawaan
• Meta batasi remaja dua jam sehari setelah kesepakatan hingga US$17,1 miliar
• 274 server Zimbra dibobol meski perbaikan sudah tersedia lima minggu