Агентство CISA предупредило об атаках на локальные серверы SharePoint, доступные из интернета. Злоумышленники уже используют три уязвимости —
CVE-2026-32201 (6.5 Medium),
CVE-2026-45659 (8.8 High),
CVE-2026-56164 (9.8 Critical),
которые позволяют обойти проверку подлинности, проникнуть в систему и установить вредоносные программы.
После взлома атакующие могут удалённо выполнять код, похищать ключи Internet Information Services и закрепляться в системе. По данным Shadowserver, из интернета сейчас доступны почти 10 000 серверов SharePoint, более 800 из которых не защищены от двух менее критичных уязвимостей.
Администраторам рекомендуют включить интерфейс проверки AMSI и полный режим анализа тела запросов, а перед заменой ключей IIS — найти и удалить все следы вторжения.