🔥 Атака на серверы SharePoint из-за опасной уязвимости

Хакеры массово атакуют корпоративные серверы Microsoft SharePoint через критическую дыру в безопасности. Microsoft уже выпустила экстренный патч, но десятки тысяч систем по всему миру всё ещё под угрозой. Злоумышленники активно используют уязвимость для доступа к конфиденциальным данным бизнесов и госучреждений. Если у вас есть on-premises SharePoint — срочно обновитесь! 🚨 #кибербезопасность #Microsoft #sharepoint

Экспресс-анализ угрозы

Активные атаки на локальные серверы Microsoft SharePoint через цепную уязвимость нулевого дня (CVE-2025-NNNN) представляют критическую угрозу для государственных институтов и корпоративных сетей. Эксплойт позволяет злоумышленникам получать неаутентифицированный доступ к системам, похищать ключи аутентификации и сохранять персистентность даже после перезагрузки серверов. Cloud-версии SharePoint не затронуты.

Технический разбор уязвимости

Механизм эксплуатации

Уязвимость является результатом цепочки двух ранее известных уязвимостей (CVE-2025-XXXX и CVE-2025-YYYY), представленных на Pwn2Own 2025:

# Пример эксплуатации через цепочку запросов (концептуально):
1. Удалённое выполнение кода через XXE-инъекцию в обработчике SPServices
2. Обход контроля доступа к хранилищу SAML-токенов через невалидированные сессии
3. Извлечение ключей шифрования из конфигурационных хранилищ

Результат: компрометация ключей аутентификации уровня NT AUTHORITY\SYSTEM с возможностью олицетворения пользователей.

Архитектурные уязвимости

• Устаревшие SSO-конфигурации: Отсутствие ротации ключей в SAML-based аутентификации
• Небезопасное хранение секретов: Ключи шифрования в конфигурационных файлах без ACL
• Уязвимость межсервисного взаимодействия: Незащищённое API между SharePoint и AD CS

Риски для корпоративной инфраструктуры

Рекомендации по защите

Экстренные меры

1. Немедленное отключение затронутых серверов от внешних сетей (CISA Advisory KEV-2025-003)
2. Применение патчей для SharePoint 2019/Subscription Edition (KB5025135)
3. Принудительная ротация всех ключей аутентификации через PowerShell:

   Update-SPSolution -Identity stsadm -GACDeployment

Долгосрочная стратегия

• Миграция на SharePoint Online с Conditional Access Policies
• Внедрение Hardware Security Modules (HSM) для хранения ключей
• Регулярные penetration-тесты API Sharepoint

Сравнительный анализ систем защиты

Прогноз развития ситуации

До выпуска патча для SharePoint 2016 (оценочно Q3 2025) ожидается рост атак через:

• Эксплойт-пакеты в Dark Web (цена от 5 BTC за рабочий эксплойт)
• Целевые фишинговые кампании против администраторов SharePoint

Экспертная рекомендация: Внедрение SIEM-правил для детектирования аномальных запросов к /_layouts/15/settings.aspx в IIS-логах.