Para pelaku kejahatan siber dilaporkan telah mulai mengeksploitasi kerentanan keamanan baru pada Microsoft SharePoint. Eksploitasi ini terjadi tak lama setelah kode Proof-of-Concept (PoC) yang menunjukkan cara kerja kerentanan tersebut dirilis ke publik. Situasi ini menyoroti kecepatan para peretas dalam memanfaatkan celah keamanan yang baru terungkap untuk melancarkan serangan dan menggarisbawahi urgensi bagi organisasi untuk segera bertindak.
Kerentanan yang dimaksud adalah CVE-2026-55040, dengan skor CVSS 9.1, yang mengindikasikan tingkat keparahan yang sangat tinggi. Celah ini merupakan bypass fitur keamanan kritis yang berasal dari otentikasi yang lemah. Microsoft sendiri telah merilis pembaruan keamanan untuk menambal kerentanan ini sebagai bagian dari pembaruan Patch Tuesday pada Juli 2026. Skor CVSS 9.1 menempatkan kerentanan ini dalam kategori ‘Kritis’, yang berarti eksploitasi dapat menyebabkan dampak parah pada sistem yang rentan, seringkali tanpa memerlukan interaksi pengguna atau hak akses khusus.
Dalam laporannya bulan lalu, Microsoft menjelaskan, “Fitur otentikasi dapat dilewati karena kerentanan ini memungkinkan peniruan identitas.” Mereka menambahkan, “Mengeksploitasi kerentanan ini dapat memungkinkan penyerang untuk mengungkapkan file dan memodifikasi data, tetapi penyerang tidak dapat memengaruhi ketersediaan sistem.” Pernyataan ini menggarisbawahi potensi dampak serius terhadap kerahasiaan dan integritas data. Meskipun ketersediaan sistem tidak terpengaruh, kerahasiaan dan integritas data adalah pilar utama keamanan informasi, dan pelanggaran pada salah satu atau keduanya dapat memiliki konsekuensi finansial, reputasi, dan hukum yang signifikan bagi organisasi.
Menurut Defused Cyber, pelaku ancaman siber kini memanfaatkan eksploitasi PoC yang dirilis oleh Rapid7 pada awal pekan ini. Kejadian ini kembali menunjukkan bahwa celah keamanan yang baru ditemukan dapat dengan cepat disalahgunakan dalam serangan nyata, seringkali dalam hitungan jam atau hari setelah PoC dipublikasikan. Kecepatan reaksi para peretas menjadi perhatian serius bagi organisasi yang menggunakan SharePoint, menuntut mereka untuk memiliki strategi patching yang cepat dan efektif serta kemampuan pemantauan ancaman yang proaktif.
Perlu dicatat bahwa CVE-2026-55040 adalah kerentanan SharePoint kelima yang dieksploitasi tahun ini. Sebelumnya, ada empat kerentanan lain yang juga menjadi target eksploitasi, yaitu CVE-2026-45659, CVE-2026-56164, CVE-2026-58644, dan CVE-2026-50522. Frekuensi eksploitasi ini mengindikasikan bahwa SharePoint, sebagai platform kolaborasi dan manajemen dokumen yang banyak digunakan di lingkungan perusahaan, menjadi target populer bagi para peretas. Ini disebabkan oleh nilai data yang tersimpan di dalamnya dan peran sentralnya dalam operasional bisnis, menjadikannya sasaran yang menarik untuk spionase, sabotase, atau pencurian data.
Eksploitasi CVE-2026-55040 yang berhasil memungkinkan penyerang tanpa otentikasi untuk melewati sistem otentikasi pada server SharePoint yang rentan. Dengan demikian, penyerang dapat melakukan operasi arbitrer layaknya pengguna atau administrator situs SharePoint. Rapid7 menjelaskan bahwa kerentanan ini disebabkan oleh “beberapa masalah” dalam alur validasi token JWT (JSON Web Token). Token JWT digunakan secara luas untuk otentikasi dan otorisasi dalam aplikasi web modern, dan kelemahan dalam penanganannya dapat membuka pintu bagi peniruan identitas yang serius.
Secara spesifik, kerentanan ini menggabungkan empat kelemahan berbeda untuk memungkinkan penyerang jarak jauh tanpa otentikasi memalsukan token JWT yang valid dan meniru identitas pengguna situs SharePoint mana pun. Rapid7 menyatakan bahwa masalah ini terletak pada dua kelas berbeda yang mengimplementasikan logika parsing dan validasi token untuk token layanan-ke-layanan (S2S) Bearer, yaitu SPJsonWebSecurityTokenHandlerV2 dan SPJsonWebSecurityBaseTokenHandlerV2. Kombinasi beberapa kelemahan seperti ini seringkali lebih sulit dideteksi dan diperbaiki, dan dapat menciptakan rantai serangan yang sangat efektif.
Seluruh rantai eksploitasi dapat dilakukan oleh penyerang dengan langkah-langkah berikut: pertama, penyerang mengirimkan JWT dengan “alg: none” di header luar, sehingga tidak diperlukan tanda tangan pada token luar. Ini adalah kelemahan klasik di mana aplikasi gagal memverifikasi algoritma tanda tangan yang diklaim oleh token. Kedua, header x5t token aktor berisi thumbprint sertifikat STS milik SharePoint sendiri, memungkinkan resolusi kunci penandatanganan tanpa verifikasi. Ketiga, sertifikat yang diresolusi tidak berada di TrustedSecurityTokenServices, memungkinkan penerbit diterima. Keempat, tanda tangan token aktor adalah nilai non-kosong, misalnya AAAA, yang tidak pernah diverifikasi. Kelemahan-kelemahan ini secara kolektif memungkinkan penyerang untuk menciptakan token otentikasi yang terlihat sah oleh sistem SharePoint, meskipun sebenarnya palsu.
Kode PoC berbasis Python yang dirilis oleh Rapid7 menggunakan token JWT palsu untuk mengkueri pengontrol domain target, menghitung pengguna berdasarkan SID (Security Identifier), dan secara otomatis menemukan SID untuk pengguna guna menemukan administrator situs. Metode ini menunjukkan betapa mudahnya bagi penyerang untuk mendapatkan akses administratif jika kerentanan ini tidak ditangani. Kemampuan untuk mengidentifikasi administrator dan kemudian meniru identitas mereka memberikan penyerang kendali penuh atas lingkungan SharePoint, termasuk akses ke dokumen sensitif, kemampuan untuk mengubah konfigurasi, atau bahkan menyebarkan malware.
Hingga saat ini, belum jelas siapa di balik aktivitas eksploitasi ini atau apa tujuan akhir mereka. Data telemetri yang dicatat oleh KEVIntel menunjukkan bahwa total 12 upaya eksploitasi telah tercatat sejak 19 Juli 2026. Dari jumlah tersebut, delapan di antaranya terjadi pada 12 dan 13 Agustus 2026, yang mengindikasikan bahwa rilis PoC telah berperan dalam peningkatan aktivitas eksploitasi ini. Peningkatan aktivitas eksploitasi setelah rilis PoC adalah pola umum yang diamati dalam keamanan siber, menekankan pentingnya respons cepat setelah pengungkapan kerentanan.
Dua belas upaya eksploitasi tersebut berasal dari delapan alamat IP unik yang berasal dari lima negara dan wilayah, termasuk Hong Kong, Jepang, Belanda, Taiwan, dan Amerika Serikat. Distribusi geografis yang luas ini menunjukkan bahwa serangan tidak terbatas pada wilayah tertentu, dan organisasi di seluruh dunia yang menggunakan SharePoint berpotensi menjadi target. Ini juga menyiratkan bahwa para pelaku ancaman mungkin beroperasi dari berbagai lokasi atau menggunakan infrastruktur proxy untuk menyamarkan asal-usul mereka.
Dampak Keamanan dan Rekomendasi Praktis:
Dampak keamanan dari eksploitasi CVE-2026-55040 sangat signifikan. Penyerang yang berhasil dapat memperoleh akses tidak sah ke data sensitif yang disimpan di SharePoint, seperti dokumen rahasia perusahaan, informasi pribadi karyawan, atau data pelanggan. Mereka juga dapat memodifikasi atau menghapus data, mengganggu operasional bisnis, atau bahkan menggunakan akses tersebut sebagai pijakan untuk melancarkan serangan lebih lanjut ke dalam jaringan internal. Potensi kerugian reputasi, denda regulasi (misalnya, GDPR, CCPA), dan biaya pemulihan insiden bisa sangat besar.
Untuk mitigasi dan pencegahan, pengguna SharePoint disarankan untuk selalu memperbarui instans mereka agar tetap terlindungi secara optimal. Pembaruan rutin adalah kunci untuk menjaga keamanan sistem dari ancaman siber yang terus berkembang. Berikut adalah rekomendasi praktis yang lebih detail:
1. Prioritaskan Patching Segera: Organisasi harus segera menerapkan pembaruan keamanan yang dirilis oleh Microsoft pada Patch Tuesday Juli 2026 untuk CVE-2026-55040. Ini adalah langkah paling krusial untuk menutup celah keamanan ini. Otomatisasi proses patching jika memungkinkan, atau pastikan tim IT memiliki prosedur yang jelas untuk menerapkan patch kritis dengan cepat.
2. Verifikasi Penerapan Patch: Setelah patching, lakukan verifikasi untuk memastikan bahwa pembaruan telah berhasil diterapkan pada semua server SharePoint yang relevan. Gunakan alat pemindai kerentanan atau lakukan pemeriksaan manual jika diperlukan.
3. Pemantauan Log Aktivitas: Tingkatkan pemantauan log aktivitas SharePoint dan log sistem lainnya untuk mencari indikator kompromi (IoC) yang terkait dengan eksploitasi ini. Perhatikan aktivitas login yang tidak biasa, akses ke file sensitif, atau modifikasi konfigurasi yang tidak sah. Lakukan audit log secara berkala.
4. Implementasi Prinsip Least Privilege: Pastikan bahwa semua pengguna dan akun layanan SharePoint beroperasi dengan hak akses minimum yang diperlukan untuk menjalankan tugas mereka. Ini membatasi dampak jika akun dikompromikan.
5. Segmentasi Jaringan: Isolasi server SharePoint dalam segmen jaringan terpisah untuk membatasi pergerakan lateral penyerang jika terjadi kompromi. Menerapkan firewall aplikasi web (WAF) di depan server SharePoint juga dapat membantu mendeteksi dan memblokir upaya eksploitasi.
6. Edukasi Pengguna: Meskipun kerentanan ini bersifat teknis, edukasi pengguna tentang praktik keamanan siber yang baik, seperti mengenali upaya phishing yang mungkin mencoba mendapatkan kredensial, tetap penting sebagai lapisan pertahanan tambahan.
7. Rencanakan Respon Insiden: Pastikan organisasi memiliki rencana respons insiden yang telah diuji dan siap diimplementasikan jika terjadi kompromi. Ini mencakup langkah-langkah untuk identifikasi, penahanan, pemberantasan, pemulihan, dan pembelajaran pasca-insiden.
Dengan mengambil langkah-langkah proaktif ini, organisasi dapat secara signifikan mengurangi risiko yang ditimbulkan oleh CVE-2026-55040 dan kerentanan SharePoint lainnya, menjaga keamanan data dan keberlangsungan operasional bisnis mereka di tengah lanskap ancaman siber yang terus berkembang.
