Podatność w Microsoft SharePoint Server umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE) poprzez deserializację niezaufanych danych. Ze względu na brak wymagań dotyczących uwierzytelnienia i interakcji użytkownika, podatność stanowi krytyczne zagrożenie dla organizacji korzystających z tego rozwiązania.
▸ Pokaż oryginał (EN)
Deserialization of untrusted data in Microsoft Office SharePoint allows an unauthorized attacker to execute code over a network.
Podatność (CWE-502) polega na nieprawidłowej obsłudze danych wejściowych podczas procesu deserializacji w Microsoft SharePoint. Atakujący może przesłać przez sieć specjalnie spreparowany, złośliwy payload, który zostanie zdeserializowany przez podatną aplikację bez wcześniejszej weryfikacji jego pochodzenia ani zawartości. Prowadzi to do wykonania arbitralnego kodu w kontekście procesu serwera SharePoint.
Skuteczne wykorzystanie podatności pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnego kodu na serwerze SharePoint, co może skutkować pełnym przejęciem kontroli nad systemem, ujawnieniem poufnych danych lub naruszeniem ich integralności.
Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi w Microsoft Security Response Center pod adresem: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-58644
Microsoft SharePoint Server — wersje wskazane w referencjach producenta (https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-58644)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HMicrosoft SharePoint Server
APPMicrosoft20162019< 16.0.19725.20434
CISA KEV — szczegółyi
- Dostawcai
- Microsoft ↗
- Produkti
- SharePoint
- Data dodania do KEVi
- 16 lipca 2026
- Termin remediation (USA)i
- 19 lipca 2026(po terminie)
Zastosuj mitygacje zgodnie z instrukcjami producenta, zapewniając zgodność ze wskazówkami BOD 26-04 CISA Prioritizing Security Updates Based on Risk (zobacz URL w Notes) i wymaganiami "Forensics Triage Requirements" CISA (zobacz URL w Notes). Postępuj zgodnie z obowiązującymi wskazówkami BOD 26-04 dla usług chmurowych lub zaprzestań użytkowania produktu, jeśli mitygacje są niedostępne. Interesariusze są odpowiedzialni za ocenę ekspozycji internetowej każdego zasobu i zapewnienie zgodności z wytycznymi naprawiania BOD 26-04.
▸ Pokaż oryginał (EN)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Microsoft SharePoint zawiera lukę podatności deserializacji niezaufanych danych, która umożliwia nieuprawnionym atakującym wykonanie kodu przez sieć.
▸ Pokaż oryginał (EN)
Microsoft SharePoint contains a deserialization of untrusted data vulnerability that allows an unauthorized attacker to execute code over a network.
Powiązane podatności
RCE przez deserializację niezaufanych danych w Microsoft SharePoint
Obejście uwierzytelnienia w Microsoft SharePoint Server (RCE-ready)
RCE przez deserializację niezaufanych danych w Microsoft SharePoint Server
RCE przez deserialization w Microsoft SharePoint Server (on-premises)
Microsoft SharePoint Server – privilege escalation bez uwierzytelnienia