Kerentanan Kritis SharePoint Dieksploitasi Pasca Rilis Kode PoC: Ancaman Serius bagi Pengguna

Para pelaku kejahatan siber dilaporkan telah mulai mengeksploitasi kerentanan keamanan baru pada Microsoft SharePoint setelah kode bukti konsep (PoC) untuk eksploitasi tersebut dirilis ke publik. Kerentanan ini, yang dikenal sebagai CVE-2026-55040, merupakan celah bypass fitur keamanan kritis yang berasal dari kelemahan autentikasi. Microsoft telah merilis patch untuk kerentanan ini sebagai bagian dari pembaruan Patch Tuesday pada Juli 2026.

Menurut Microsoft, kerentanan ini memungkinkan bypass fitur autentikasi, yang dapat dimanfaatkan oleh penyerang untuk melakukan peniruan identitas. “Mengeksploitasi kerentanan ini dapat memungkinkan penyerang untuk mengungkapkan file dan memodifikasi data, tetapi penyerang tidak dapat memengaruhi ketersediaan sistem,” demikian pernyataan Microsoft dalam advisori mereka bulan lalu terkait kelemahan ini.

Perusahaan keamanan siber Defused Cyber melaporkan bahwa para pelaku ancaman memanfaatkan eksploitasi PoC yang dirilis oleh Rapid7 pada awal minggu ini. Hal ini kembali menunjukkan bahwa kerentanan baru dengan cepat disalahgunakan dalam serangan di dunia nyata. Rilis PoC seringkali mempercepat eksploitasi kerentanan, karena memberikan panduan praktis bagi pihak-pihak yang ingin menyalahgunakan celah keamanan tersebut.

CVE-2026-55040 memiliki skor CVSS 9.1, yang mengindikasikan tingkat keparahan yang sangat tinggi. Kerentanan ini merupakan yang kelima yang ditemukan pada SharePoint dan dieksploitasi tahun ini, menyusul kerentanan sebelumnya seperti CVE-2026-45659, CVE-2026-56164, CVE-2026-58644, dan CVE-2026-50522. Frekuensi eksploitasi ini menggarisbawahi pentingnya pembaruan dan pemeliharaan keamanan yang ketat bagi pengguna SharePoint.

Eksploitasi yang berhasil dari CVE-2026-55040 dapat memungkinkan penyerang yang tidak terautentikasi untuk melewati autentikasi pada server SharePoint yang rentan. Hal ini berarti penyerang dapat melakukan operasi arbitrer, seolah-olah mereka adalah pengguna atau administrator situs SharePoint yang sah. Rapid7 menjelaskan bahwa kerentanan ini disebabkan oleh “beberapa masalah” dalam alur validasi token JWT (JSON Web Token).

Secara spesifik, eksploitasi ini menggabungkan empat kelemahan berbeda untuk memungkinkan penyerang jarak jauh yang tidak terautentikasi memalsukan token JWT yang valid dan meniru identitas pengguna situs SharePoint mana pun. Rapid7 mengidentifikasi bahwa masalah ini terletak pada dua kelas berbeda yang mengimplementasikan logika parsing dan validasi token untuk token Bearer service-to-service (S2S), yaitu SPJsonWebSecurityTokenHandlerV2 dan SPJsonWebSecurityBaseTokenHandlerV2.

Rantai eksploitasi ini dapat dilakukan oleh penyerang dengan langkah-langkah berikut: pertama, penyerang mengirimkan JWT dengan “alg: none” di header luar, sehingga tidak diperlukan tanda tangan pada token luar. Kedua, header x5t token aktor berisi thumbprint sertifikat STS SharePoint sendiri, memungkinkan resolusi kunci penandatanganan tanpa verifikasi. Ketiga, sertifikat yang diresolusi tidak ada di TrustedSecurityTokenServices, namun penerbit tetap diterima. Terakhir, tanda tangan token aktor memiliki nilai non-kosong, misalnya AAAA, yang tidak pernah diverifikasi.

PoC berbasis Python yang dirilis oleh Rapid7 menggunakan token JWT yang dipalsukan untuk mengkueri pengontrol domain target, menghitung pengguna berdasarkan SID (Security Identifier), dan secara otomatis menemukan SID untuk pengguna guna menemukan administrator situs. Hingga saat ini, belum jelas siapa di balik aktivitas eksploitasi ini atau apa tujuan akhir mereka. Data telemetri yang dikumpulkan oleh KEVIntel menunjukkan bahwa total 12 upaya eksploitasi telah tercatat sejak 19 Juli 2026. Delapan dari upaya ini terjadi pada 12 dan 13 Agustus 2026, menunjukkan bahwa rilis PoC telah berperan dalam peningkatan aktivitas ini.

Dua belas upaya eksploitasi tersebut berasal dari delapan alamat IP unik yang berlokasi di lima negara dan wilayah, termasuk Hong Kong, Jepang, Belanda, Taiwan, dan Amerika Serikat. Mengingat lonjakan eksploitasi aktif ini, pengguna SharePoint disarankan untuk selalu memperbarui instans mereka agar mendapatkan perlindungan optimal. Pembaruan rutin adalah kunci untuk menjaga keamanan sistem dari ancaman siber yang terus berkembang.

Latar Belakang Microsoft SharePoint dan Pentingnya Keamanan

Microsoft SharePoint adalah platform kolaborasi berbasis web yang banyak digunakan oleh organisasi di seluruh dunia untuk mengelola dokumen, proyek, dan informasi. Ini menyediakan fungsionalitas yang kaya untuk intranet, manajemen konten, dan berbagi file, menjadikannya tulang punggung operasional bagi banyak perusahaan. Karena perannya yang sentral dalam penyimpanan dan pengelolaan data sensitif, keamanan SharePoint menjadi sangat krusial. Kerentanan apa pun dalam platform ini dapat memiliki konsekuensi yang luas, mulai dari kebocoran data rahasia hingga gangguan operasional yang signifikan.

Sejarah SharePoint juga menunjukkan bahwa platform ini sering menjadi target empuk bagi penyerang siber. Kompleksitas arsitekturnya, integrasi dengan berbagai sistem lain, dan banyaknya fitur yang ditawarkan seringkali membuka celah keamanan yang dapat dieksploitasi. Oleh karena itu, Microsoft secara teratur merilis pembaruan keamanan, dan penting bagi administrator untuk menerapkan pembaruan ini dengan segera.

Dampak Keamanan dari CVE-2026-55040

Dampak dari eksploitasi CVE-2026-55040 sangat serius. Dengan kemampuan untuk melewati autentikasi, penyerang dapat meniru identitas pengguna mana pun, termasuk administrator sistem. Ini berarti mereka dapat:

• Mengakses dan Mengungkapkan Data Sensitif: Penyerang dapat melihat, mengunduh, atau memindahkan dokumen rahasia, informasi karyawan, data keuangan, atau kekayaan intelektual yang tersimpan di SharePoint.
• Memodifikasi atau Menghapus Data: Selain mengakses, penyerang juga dapat mengubah atau menghapus data, menyebabkan integritas data terganggu dan potensi kerugian finansial atau reputasi.
• Melakukan Serangan Lanjutan: Setelah mendapatkan akses, penyerang dapat menggunakan SharePoint sebagai pijakan untuk melancarkan serangan lebih lanjut ke sistem internal lainnya yang terhubung. Ini bisa termasuk menyebarkan malware, ransomware, atau melakukan spionase siber.
• Kerugian Reputasi dan Kepercayaan: Pelanggaran data atau insiden keamanan yang signifikan dapat merusak reputasi organisasi dan mengikis kepercayaan pelanggan serta mitra bisnis.
• Kepatuhan Regulasi: Organisasi yang tunduk pada regulasi perlindungan data (seperti GDPR, CCPA, atau HIPAA) dapat menghadapi denda berat dan sanksi hukum jika data sensitif bocor akibat kerentanan ini.

Meskipun Microsoft menyatakan bahwa eksploitasi ini tidak memengaruhi ketersediaan sistem, kemampuan untuk mengungkapkan dan memodifikasi data sudah cukup untuk menimbulkan ancaman yang sangat besar.

Rekomendasi Praktis untuk Pengguna SharePoint

Mengingat tingkat keparahan CVE-2026-55040 dan aktivitas eksploitasi yang sedang berlangsung, sangat penting bagi pengguna SharePoint untuk mengambil tindakan segera. Berikut adalah rekomendasi praktis:

1. Segera Terapkan Patch: Prioritas utama adalah menginstal pembaruan keamanan yang dirilis oleh Microsoft pada Patch Tuesday Juli 2026. Pastikan semua instans SharePoint Anda, baik yang di-hosting di lokasi (on-premises) maupun di cloud (jika relevan), telah diperbarui.
2. Pantau Log Keamanan: Tingkatkan pemantauan log keamanan pada server SharePoint Anda untuk mendeteksi aktivitas mencurigakan. Cari upaya login yang gagal, perubahan yang tidak biasa pada izin, atau akses ke file sensitif dari alamat IP yang tidak dikenal.
3. Evaluasi Penggunaan JWT: Jika organisasi Anda menggunakan integrasi kustom atau aplikasi pihak ketiga yang memanfaatkan JWT dengan SharePoint, tinjau implementasinya untuk memastikan tidak ada celah serupa yang dapat dieksploitasi.
4. Penerapan Prinsip Hak Akses Terkecil (Least Privilege): Pastikan bahwa setiap pengguna dan akun layanan hanya memiliki hak akses minimum yang diperlukan untuk menjalankan tugasnya. Ini dapat membatasi kerusakan jika akun dikompromikan.
5. Segmentasi Jaringan: Jika memungkinkan, terapkan segmentasi jaringan untuk SharePoint Anda. Ini dapat membantu membatasi pergerakan lateral penyerang jika mereka berhasil mendapatkan akses awal.
6. Gunakan Autentikasi Multifaktor (MFA): Meskipun kerentanan ini melewati autentikasi awal, MFA tetap merupakan lapisan pertahanan penting untuk melindungi akun pengguna secara keseluruhan. Terapkan MFA untuk semua pengguna SharePoint, terutama administrator.
7. Edukasi Pengguna: Latih pengguna tentang pentingnya keamanan siber, termasuk pengenalan terhadap serangan phishing yang mungkin digunakan untuk mendapatkan informasi tambahan yang dapat membantu eksploitasi.
8. Melakukan Penilaian Kerentanan dan Pengujian Penetrasi Rutin: Secara teratur lakukan penilaian kerentanan dan pengujian penetrasi pada lingkungan SharePoint Anda untuk mengidentifikasi dan memperbaiki celah keamanan sebelum dieksploitasi oleh penyerang.
9. Memiliki Rencana Tanggap Insiden: Pastikan organisasi Anda memiliki rencana tanggap insiden yang jelas dan teruji untuk menghadapi potensi pelanggaran keamanan. Ini harus mencakup langkah-langkah untuk identifikasi, penahanan, pemberantasan, pemulihan, dan pembelajaran pasca-insiden.

Kesimpulan

Kerentanan CVE-2026-55040 pada Microsoft SharePoint adalah pengingat yang jelas akan lanskap ancaman siber yang dinamis dan agresif. Rilis kode PoC dan eksploitasi cepat di dunia nyata menunjukkan bahwa organisasi harus tetap waspada dan proaktif dalam menjaga keamanan sistem mereka. Dengan menerapkan patch segera, memantau aktivitas secara cermat, dan mengikuti praktik keamanan terbaik, pengguna SharePoint dapat secara signifikan mengurangi risiko menjadi korban serangan ini dan melindungi data serta operasi mereka dari ancaman yang terus berkembang.