Кибербезопасность сегодня сталкивается с новыми вызовами: группа Unit 42 сообщает о масштабных атаках на локальные серверы Microsoft SharePoint, использующие несколько критических уязвимостей. В зоне риска находятся государственные учреждения, образовательные организации, медицинские учреждения (включая больницы) и крупные предприятия. Облачные решения SharePoint Online остаются незатронутыми, но локальные развертывания требуют немедленного внимания.
Описание
Среди выявленных уязвимостей особенно опасны CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 и CVE-2025-53771. Первые две позволяют неавторизованным злоумышленникам выполнять произвольные команды на уязвимых серверах SharePoint, обходя стандартные ограничения. Последние две уязвимости связаны с десериализацией недоверенных данных и обходом ограничений доступа к директориям. Их объединение в цепочку атак делает угрозу еще более серьезной. Уязвимости затрагивают Microsoft SharePoint Enterprise Server 2016 и 2019, а также подписку SharePoint Server Subscription Edition.
Microsoft уже выпустила соответствующие патчи, но, по данным Unit 42, атаки активно эксплуатируют эти уязвимости. Злоумышленники обходят многофакторную аутентификацию (MFA) и единый вход (SSO), получая доступ к конфиденциальным данным, устанавливая бэкдоры и похищая криптографические ключи. Эксперты предупреждают: если ваш SharePoint доступен из интернета, стоит предположить, что система уже скомпрометирована.
Аналитики Unit 42 выделяют три основных сценария атак:
- В первом случае злоумышленники запускают PowerShell-скрипты для сбора данных из web.config-файлов.
- Во втором - создают веб-шелл spinstall0.aspx, позволяющий получать ключи шифрования ViewState.
- Третий вариант практически идентичен второму, но с измененными путями и дополнительными маскирующими действиями.
Microsoft уже выпустила рекомендации по устранению угроз, но Unit 42 настаивает на дополнительных мера:
- Во-первых, уязвимые серверы стоит немедленно отключить от интернета.
- Во-вторых, необходимо применить все доступные обновления безопасности и провести ротацию криптографических ключей.
- В-третьих, рекомендуется обратиться к профессионалам для проведения полноценного инцидент-респонса, так как стандартного патчинга может быть недостаточно для полного устранения угрозы.
Эксперты подчеркивают: с учетом глубины интеграции SharePoint с другими сервисами Microsoft (Teams, OneDrive, Outlook) компрометация этой системы может привести к полному взлому корпоративной сети. Поэтому меры защиты должны быть приняты незамедлительно.
Ситуация продолжает развиваться, и организациям рекомендуется следить за обновлениями от Microsoft и Palo Alto Networks. Промедление с защитными мерами чревато серьезными последствиями, включая утечки данных и длительные простои в работе инфраструктуры.
Индикаторы компрометации
