A poco piu’ di due settimane dall’ultima allerta su SharePoint, il tema torna, e stavolta e’ piu’ serio. Il 16 luglio 2026 l’agenzia americana per la cybersicurezza CISA ha inserito nel catalogo delle vulnerabilita’ gia’ sfruttate dagli attaccanti una nuova falla critica di Microsoft SharePoint Server, la CVE-2026-58644. Il punteggio di gravita’ e’ 9.8 su 10, cioe’ quasi il massimo, e per le agenzie federali statunitensi la scadenza per correggere e’ fissata a oggi, 19 luglio. Non e’ la stessa falla di inizio mese: e’ un’altra, piu’ grave, e questa risulta gia’ usata negli attacchi reali.
Prima distinzione: on-premise oppure cloud?
Come per l’allerta precedente, e’ il punto che separa “mi riguarda” da “posso stare tranquillo”. Il problema colpisce le versioni di SharePoint installate sui propri server (on-premise): Subscription Edition, SharePoint Server 2019 e SharePoint Enterprise Server 2016. Chi usa SharePoint Online, la versione inclusa in Microsoft 365 e ospitata da Microsoft, non deve fare nulla: gli aggiornamenti li gestisce il fornitore.
La prima domanda da porsi, come per l'allerta di inizio luglio: il nostro SharePoint gira su un server nostro (on-premise) o e' quello incluso in Microsoft 365 (cloud)?
Perche’ questa e’ peggiore della precedente
La falla di inizio luglio (CVE-2026-45659) era grave ma, al momento della segnalazione, si sapeva che bastava un account con permessi minimi per sfruttarla. Questa nuova falla ha due differenze che alzano l’asticella.
La prima e’ che e’ gia’ sfruttata attivamente: Microsoft ha aggiornato il proprio avviso confermando che gli attaccanti la stanno usando, e CISA l’ha inserita tra le falle “in the wild” appena due giorni dopo l’allarme iniziale. Non e’ piu’ un rischio potenziale, e’ un attacco in corso.
La seconda riguarda il tipo di azione: si tratta anche qui di una deserializzazione che porta all’esecuzione di codice da remoto (RCE), ma per innescarla serve un account di livello “Site Owner” o superiore, cioe’ un proprietario di sito, non un semplice membro. Il punto critico e’ cosa fanno gli attaccanti una volta dentro: rubano le “machine key” del server, le chiavi crittografiche che SharePoint usa internamente. Con quelle chiavi possono rientrare anche dopo che hai applicato la patch.
Cosa fare concretamente (anche se l’IT non lo gestisci tu)
Se in azienda non gestisci direttamente i server, non ti serve la parte tecnica: ti serve fare le domande giuste a chi se ne occupa, oggi. La sequenza:
- Chiedi se avete SharePoint on-premise. Se la risposta e’ “usiamo solo Microsoft 365 / SharePoint Online”, sei a posto su questo fronte.
- Se e’ on-premise, chiedi se e’ stata applicata la patch del Patch Tuesday del 14 luglio 2026 per la CVE-2026-58644. Se non lo e’, va fatto con priorita’ massima.
- Chiedi se sono stati cercati segni di compromissione prima di considerare il server “a posto”: vista l’esposizione, va verificato che nessuno sia gia’ entrato, e in caso vanno ruotate le machine key dopo la bonifica.
- Fai togliere SharePoint dall’esposizione diretta su internet, quando possibile, e limita l’accesso all’area di amministrazione: sono misure che riducono il rischio anche per le prossime falle.
Il dettaglio che rende insufficiente la sola patch a compromissione avvenuta.
Cosa fare lunedi’
Se hai un SharePoint installato sui tuoi server, la telefonata da fare al tuo responsabile IT o al tuo MSP e’ doppia: “il nostro SharePoint on-premise e’ gia’ patchato per la CVE-2026-58644?” e “avete verificato che non sia gia’ stato compromesso?”. La seconda domanda, stavolta, conta quanto la prima. E vale la pena farti confermare che gli aggiornamenti di sicurezza dei sistemi esposti vengano gestiti con un processo regolare: due allerte critiche sullo stesso prodotto in due settimane sono il segnale che questi server vanno tenuti sotto controllo continuo, non aggiornati a chiamata.