Microsoft SharePoint: vulnerabilità critica di escalation dei privilegi (CVE-2026-120002)

Cosa è successo

Microsoft ha divulgato il CVE-2026-120002 il 10 novembre 2026. Microsoft lo descrive come una vulnerabilità di autorizzazione non corretta in Microsoft Office SharePoint. Consente a un attaccante autorizzato di elevare i privilegi attraverso la rete. La vulnerabilità ha un punteggio CVSS base di 9.9, che la classifica come critica.

L'attaccante deve innanzitutto disporre di un account valido, che può però avere privilegi bassi. In SharePoint questo gruppo può essere numeroso: dipendenti, collaboratori, e account di partner o clienti sui siti extranet.

CISA non elenca la vulnerabilità come sfruttata e nessuna delle fonti disponibili riporta attacchi. La descrizione di Microsoft non fornisce ulteriori dettagli tecnici.

Chi è interessato

La descrizione di Microsoft indica Microsoft Office SharePoint. I dati di partenza non elencano le versioni interessate o corrette. I dati di partenza inseriscono inoltre la voce sotto il prodotto "Microsoft Exchange", il che contrasta con la descrizione dello stesso Microsoft. Consultate l'avviso Microsoft collegato di seguito per verificare quali build di SharePoint ed Exchange Microsoft indica come interessate e quali aggiornamenti le correggono.

Se non utilizzate né SharePoint né Exchange in locale, questa vulnerabilità non riguarda i vostri server. Per i servizi ospitati da Microsoft, come SharePoint Online, consultate l'avviso per verificare se sia necessario intervenire.

Cosa fare ora

1. Elencate tutti i server che eseguono SharePoint Server, inclusi i farm di test e di staging e i server che gestite per conto di clienti. Elencate anche i server Exchange finché l'avviso non confermi se Exchange sia interessato.
2. Aprite l'avviso Microsoft per il CVE-2026-120002 collegato di seguito. Annotate l'aggiornamento di sicurezza corrispondente a ciascun prodotto e versione in uso.
3. Eseguite il backup della configurazione. Installate quindi l'aggiornamento su ogni server del farm, tramite Windows Update, WSUS o il vostro strumento di gestione delle patch, oppure scaricandolo dal Microsoft Update Catalog.
4. Su SharePoint, completate l'installazione come descritto nella documentazione Microsoft per la vostra versione. Di solito ciò significa eseguire la SharePoint Products Configuration Wizard o PSConfig su ogni server del farm.
5. Verificate che siti, ricerca e applicazioni di servizio funzionino correttamente dopo l'aggiornamento.
6. Se non potete aggiornare subito, limitate chi può accedere a SharePoint. Esponetelo a internet solo se necessario e rimuovete gli account inutilizzati o non più necessari.

Come verificare se siete interessati

• In Amministrazione centrale, alla voce Aggiornamento e migrazione > Verifica stato di installazione di prodotti e patch, controllate la build installata su ogni server SharePoint. Confrontatela con la build corretta indicata nell'avviso Microsoft.
• In PowerShell, eseguite (Get-SPFarm).BuildVersion nella SharePoint Management Shell per visualizzare la versione di build del farm.
• Esaminate i log ULS di SharePoint e i log IIS per individuare modifiche insolite ai permessi, agli amministratori delle raccolte di siti o alle impostazioni del farm, in particolare da parte di account con privilegi bassi. Le fonti non segnalano attacchi, quindi questi controlli sono una misura precauzionale.

Fonti

• https://nvd.nist.gov/vuln/detail/CVE-2026-120002
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-120002