Upozornenie: Aktívne zneužitá kritická zraniteľnosť servera SharePoint

Dátum vydania: Júl 19, 2025
PrísnosťKritické (CVSS 9.8)
postavenieBez záplaty
Dotknutý produktMicrosoft SharePoint Server (lokálne)

Čo sa deje?

Kritická zraniteľnosť v Microsoft SharePoint Serveri je aktívne zneužívaná v rozsiahlej kybernetickej kampani. Táto chyba, sledovaná ako CVE-2025-53770, umožňuje hackerom prevziať kontrolu nad SharePoint servermi na diaľku bez potreby hesla alebo prihlásenia.

Ešte horšie je, že momentálne nie je k dispozícii žiadna oprava, čo z tejto situácie robí vysoko rizikovú situáciu pre každú organizáciu, ktorá prevádzkuje lokálne servery SharePoint.

Čo je v ohrození?

Útočníci už túto zraniteľnosť využívajú na:

• beh škodlivý kód vzdialene
• Ukradnúť citlivé súbory a systémové nastavenia
• Pohybujte sa laterálne cez sieť a útočte na iné pripojené systémy (ako napríklad Teams, Outlook alebo OneDrive).
• Zbierajte kryptografické kľúče na zosobnenie používateľov, a to aj po oprave systému

Bezpečnostní experti varujú, že napadnuté servery musia po vydaní opravy od spoločnosti Microsoft rotovať všetky kľúče a tajné kľúče.

Technické detaily (zjednodušené)

• CVE-2025-53770 je chyba umožňujúca vzdialené spustenie kódu spôsobená nebezpečným spracovaním nedôveryhodných údajov v SharePointe.
• Ide o nebezpečnejšiu verziu skoršej chyby CVE-2025-49706.
• Nie je potrebná žiadna interakcia s používateľom, hackeri to môžu zneužiť jednoduchým prístupom k serveru.
• Používa sa pri útokoch v reálnom svete s kódovým označením ToolShell, kde škodlivé skripty PowerShellu zadávajú falošné požiadavky SharePointu, ktoré spustia úplnú kontrolu nad systémom.

Neovplyvnené:

SharePoint Online (Microsoft 365) nie je touto zraniteľnosťou ovplyvnený.

Čo by si mal urobiť?

Kým spoločnosť Microsoft nevydá opravu, podniknite tieto naliehavé kroky na ochranu svojej organizácie:

1. Povoliť integráciu AMSI
   • Rozhranie Antimalware Scan Interface (AMSI) pomáha detekovať a blokovať škodlivé skripty.
   • (Predvolene povolené pre SharePoint Server 2016/2019 a Subscription Edition od septembra 2023.)
2. Nasadenie antivírusu Microsoft Defender
   • Uistite sa, že na všetkých serveroch SharePoint je spustená ochrana v reálnom čase.
3. Ak nie je možné povoliť AMSI:
   • Odpojte zraniteľné servery od internetu, aby ste obmedzili ich vystavenie.
4. Dávajte si pozor na podozrivú aktivitu
   • Na monitorovanie znakov ohrozenia alebo laterálneho pohybu použite Microsoft Defender pre koncové body.
5. Pripravte sa na rotáciu kľúčov
   • Ak je váš server napadnutý, po oprave otočte všetky kryptografické kľúče a tajné kľúče.

Ďalšie informácie

• CVE-2025-53770 (CVSS 9.8) súvisí s CVE-2025-49706 a CVE-2025-49704 (CVSS 8.8)
• Spoločnosť Microsoft pracuje na záplate a aktualizácie bude zdieľať prostredníctvom svojho Centra bezpečnostných reakcií.

Konečné slovo:

Toto je veľmi vážna a pretrvávajúca hrozba. Viac ako 70 organizácií vrátane veľkých spoločností a vládnych agentúr už bolo napadnutých. Ak vaša organizácia prevádzkuje SharePoint Server lokálne, predpokladajte, že ste cieľom a konajte okamžite.

Nečakajte na záplatu. Chráňte svoje systémy ešte dnes.

Zdroje a ďalšie čítanie:

• Aktualizácie zabezpečenia spoločnosti Microsoft: Zraniteľnosť umožňujúca vzdialené spustenie kódu servera Microsoft SharePoint Server
• Centrum kybernetickej bezpečnosti: UPOZORNENIE❗️Kritická zraniteľnosť v Microsoft SharePoint Serveri

Zabezpečte si svoje podnikanie s CyberHoot ešte dnes!!!