بدأ مهاجمون استغلال ثغرة تجاوز المصادقة الحرجة (CVE-2026-55040 بتقييم CVSS عند 9.1) في خوادم Microsoft SharePoint، وذلك بعد أيام قليلة من نشر شركة Rapid7 تحليلاً تقنياً ونموذج إثبات مفهوم خاصاً بها. يعكس هذا التطور تسارعاً ملحوظاً في تحويل الثغرات المصححة حديثاً إلى هجمات فعلية تستهدف خوادم المؤسسات.
ورصدت شركة Defused Cyber محاولات استغلال موجهة ضد أنظمة الاستشعار الأمنية التابعة لها، بالاعتماد على نموذج إثبات المفهوم الذي نشرته Rapid7 يوم الثلاثاء الماضي. وأكدت الشركة في تحذيرها أن المهاجمين يستخدمون هذا النموذج حالياً لاستهداف أنظمة SharePoint الاستشعارية الخاصة بها، وهو ما يؤكد حالة الاستغلال الفعلي للثغرة.
تُصنف هذه الثغرة ضمن فئة تجاوز ميزة الأمان، ويكمل الخلل في سلسلة التحقق من رموز JWT داخل المنصة، حيث تتيح لمهاجم غير مصادق تجاوز آلية التحقق وانتحال هوية أي مستخدم، بما في ذلك حسابات مدراء الموقع. وتؤثر الثغرة تحديداً على ثلاثة إصدارات رئيسية هي: SharePoint Enterprise Server 2016، و SharePoint Server 2019، و SharePoint Server Subscription Edition.
وكانت شركة Microsoft قد عالجت هذه الثغرة وأصدرت تصحيحات للإصدارات المتأثرة ضمن تحديثاتها الأمنية الدورية لشهر يوليو 2026. بينما يتركز النشاط الهجومي الحالي على الخوادم التي لم تطبق هذه التحديثات حتى الآن.
ووفقاً لبيانات منصة KEVIntel، سُجلت 12 محاولة استغلال منذ 19 يوليو 2026، وقعت ثماني محاولات منها في يومي 12 و13 أغسطس الجاري، عقب نشر التحليل الفني مباشرة. وصدرت هذه المحاولات من ثمانية عناوين IP فريدة موزعة على هونغ كونغ، واليابان، وهولندا، وتايوان، والولايات المتحدة. وتشير طبيعة هذه الاستهدافات إلى مرحلة استطلاع وتجريب واسعة النطاق، لغياب الأدلة على كونها حملة موجهة ضد قطاع محدد، كما لم تُعرف بعد هوية المهاجمين أو أهدافهم النهائية، ولم تصدر مؤشرات اختراق رسمية أو تقديرات لعدد الخوادم المعرضة للخطر.
وتبرز خطورة الثغرة في قدرة المهاجم على تجاوز المصادقة كلياً وتنفيذ عمليات بصلاحيات مستخدم شرعي. وبينت Microsoft في استشارتها الأمنية أن الاستغلال يسمح بكشف الملفات وتعديل البيانات، دون التأثير على توافر النظام بحد ذاته.
وأوضحت Rapid7 أن الخلل يعود إلى أربع نقاط ضعف مترابطة في فئتين برمجيتين مخصصتين لمعالجة رموز الخدمة إلى الخدمة، وهما SPJsonWebSecurityTokenHandlerV2 و SPJsonWebSecurityBaseTokenHandlerV2. تتيح هذه السلسلة للمهاجم تزوير رمز JWT صالح دون توقيع فعلي، من خلال تعطيل متطلب التوقيع، وقبول شهادة غير موثوقة، وتجاوز التحقق من قيمة التوقيع.
ويعتمد إثبات المفهوم المكتوب بلغة Python على استخدام الرمز المزور للاستعلام عن وحدة تحكم النطاق، وتعداد المستخدمين عبر معرفات الأمان SID، ثم تحديد حساب مدير الموقع تلقائياً لانتحال هويته.
وتوصي المصادر الأمنية المؤسسات التي تدير خوادم SharePoint محلية بالتحقق الفوري من تطبيق تحديثات يوليو 2026، مع إعطاء الأولوية القصوى للأنظمة غير المحدثة. ويُنصح بمراقبة سجلات المصادقة لرصد أي أنماط غير معتادة ترتبط برموز JWT أو محاولات تعداد المستخدمين.
