Microsoft advarer mot kritisk sårbarhet i Sharepoint – utnyttes allerede av ondsinnede aktører

Microsoft har nå advart mot en sårbarhet i sin skybaserte Sharepoint-tjeneste, som kan gi ondsinnede aktører adgang til å installere skadevare og ta kontroll over systemene.

Sårbarheten er tildelt sporingskoden CVE-2025-53770 og har en CVSS-alvorlighetsgrad på 9.8 av 10 – som gjør det til en kritisk og svært alvorlig sårbarhet. Blant andre The Hacker News rapporterte om saken.

Microsoft har sluppet en oppdatering som skal fikse sårbarheten, og oppfordrer alle brukere til å installere denne så raskt som mulig.

Utnyttes aktivt

Selskapet har nemlig allerede identifisert en «exploit» (programvare som utnytter sårbarheter, journ-anm.), og har observert aktive angrep mot sårbarheten.

– Deserialisering av ikke-pålitelig data i lokale Microsoft SharePoint Server-installasjoner gjør det mulig for en uautorisert angriper å kjøre kode over nettverket, skriver Microsoft i sin tekniske oppsummering av sårbarheten.

Oppdateringene som selskapet har sluppet berører Microsoft SharePoint Server Subscription Edition og Microsoft SharePoint Server 2019. Det understrekes at Microsoft 365 SharePoint Online ikke er rammet av sårbarheten.

Også det amerikanske byrået CISA (Cybersecurity and Infrastructure Security Agency) fanget opp nyheten, og har publisert sin egen advarsel på nettsidene sine.

– CISA er klar over aktiv utnyttelse av en ny sårbarhet for fjernkjøring av kode som gir uautorisert tilgang til lokale SharePoint-servere. Denne utnyttelsesaktiviteten, offentlig kjent som «ToolShell», gir uautorisert tilgang til systemer og gjør det mulig for ondsinnede aktører å få full tilgang til SharePoint-innhold, inkludert filsystemer og interne konfigurasjoner, samt å kjøre kode over nettverket, heter det CISAs beskrivelse.

Skannet 8000 servere

Sårbarheten ble først oppdaget av det europeiske sikkerhetsselskapet Eye Security, som har lagt ut en detaljert, teknisk beskrivelse på nettsidene sine.

Eye Security sier de skannet mer enn 8000 Sharepoint-servere over hele verden, og oppdaget flere dusin systemer som ble aktivt kompromittert i tre bekreftede angrepsbølger forrige uke.

I tillegg til å installere oppdateringene, anbefaler både Microsoft og CISA å aktivere sikkerhetsfunksjonen AMSI (Antimalware Scan Interface). Dersom dette ikke er mulig, anbefales det å koble berørte produkter fra tjenester som er tilgjengelige offentlig på internett som et ytterligere sikkerhetstiltak.

Microsoft SharePoint er populær, nettskybasert plattform for samarbeid og dokumenthåndtering som blant annet gjør det mulig for organisasjoner å lagre, organisere, dele og få sikker tilgang til informasjon. Plattformen er en del av Microsoft 365-pakken og er svært utbredt globalt.