Chi amministra un server Microsoft SharePoint on-premise ha pochi giorni per intervenire. Il 1° luglio 2026 la CISA statunitense ha inserito la vulnerabilità CVE-2026-45659 nel proprio catalogo Known Exploited Vulnerabilities (KEV), la lista delle falle di cui è documentato lo sfruttamento attivo in attacchi reali. Per le agenzie federali americane il termine per la correzione è fissato al 4 luglio, ma il segnale vale per chiunque gestisca la piattaforma, in qualunque Paese.

La falla, con punteggio CVSS 8.8, nasce da una deserializzazione di dati non attendibili e consente l'esecuzione di codice remoto (RCE) sul server. Secondo Microsoft, per sfruttarla è sufficiente un attaccante autenticato con i permessi minimi di Site Member (PR:L): non servono privilegi amministrativi. Il vettore è di rete — l'exploit è raggiungibile via Internet — la complessità è bassa e non è richiesta alcuna interazione dell'utente. In pratica, chi ottiene un qualsiasi account con permessi di base su un sito SharePoint esposto può eseguire codice sul server che lo ospita.

Microsoft aveva rilasciato le patch il 21 maggio 2026 per SharePoint Enterprise Server 2016, SharePoint Server 2019 e SharePoint Server Subscription Edition, precisando che la CVE era stata accidentalmente omessa dagli aggiornamenti di sicurezza di maggio. Nel bollettino l'azienda aveva inizialmente classificato lo sfruttamento come "meno probabile" (Exploitation Less Likely). La decisione della CISA di inserirla nel KEV a poco più di un mese di distanza ribalta quella valutazione: gli attacchi sono in corso. La piattaforma di monitoraggio Shadowserver traccia oltre 10.000 server SharePoint esposti in rete, senza che sia noto quanti siano già stati messi in sicurezza.

Non è un caso isolato. Dal 2021 la CISA ha catalogato undici vulnerabilità di SharePoint sfruttate in attacchi reali, e sette di queste sono state usate anche in campagne ransomware. SharePoint, insomma, è un bersaglio ricorrente e ben conosciuto dai gruppi criminali, non un obiettivo di nicchia.

Cosa significa per le aziende italiane

Il requisito dell'autenticazione può dare una falsa sensazione di sicurezza. In un contesto in cui le credenziali circolano a milioni sui mercati underground — raccolte da infostealer, campagne di phishing o data breach precedenti — l'accesso "base" a un portale SharePoint non è una barriera solida: è un ostacolo che un attaccante determinato supera con relativa facilità. Molte organizzazioni italiane, nella pubblica amministrazione come nel settore privato, usano SharePoint on-premise come archivio documentale interno, spesso integrato con Active Directory e con l'autenticazione aziendale. Una RCE su quel server non espone soltanto i documenti archiviati: offre un punto d'appoggio per il movimento laterale verso il resto del dominio, con il rischio concreto di un'escalation fino al controllo dell'infrastruttura.

Il profilo di rischio è più alto proprio per chi ha mantenuto installazioni on-premise per ragioni di conformità o di controllo del dato — enti pubblici, sanità, studi professionali, aziende manifatturiere — e che spesso hanno cicli di patching più lenti a causa di personalizzazioni e vincoli di continuità operativa. È esattamente la finestra temporale che gli attaccanti sfruttano: tra la disponibilità di una correzione e la sua reale installazione passano, in molte realtà, settimane se non mesi.

Il quadro normativo

Per i soggetti che rientrano nel perimetro NIS2, recepita in Italia con il D.lgs. 138/2024, la gestione tempestiva delle vulnerabilità note non è una buona pratica facoltativa ma un obbligo di sicurezza. Un server SharePoint compromesso che gestisce dati aziendali o personali può configurare un incidente significativo, con l'obbligo di notifica al CSIRT Italia entro le 24 ore per il pre-allarme e le 72 ore per la notifica completa. Se nell'incidente sono coinvolti dati personali, scatta in parallelo l'obbligo GDPR di notifica al Garante entro 72 ore e, nei casi di rischio elevato, la comunicazione agli interessati.

Cosa fare subito

  • Applicare le patch di maggio 2026 per SharePoint 2016, 2019 e Subscription Edition, se non è già stato fatto: è la misura risolutiva.
  • Censire i server SharePoint esposti verso Internet e valutare se l'esposizione sia davvero necessaria, ponendo i portali dietro VPN o reverse proxy con autenticazione forte dove possibile.
  • Verificare i log (ULS e IIS) alla ricerca di richieste anomale e attività di deserializzazione sospette, e attivare l'integrazione AMSI per SharePoint dove supportata.
  • Ruotare le credenziali degli account di servizio e degli utenti a rischio, e applicare l'autenticazione a più fattori sugli accessi.
  • Segmentare la rete in modo che un server SharePoint compromesso non offra un percorso diretto verso i controller di dominio e i sistemi critici.