Microsoft SharePoint için Kritik Güvenlik Güncellemesi Yayınladı

Microsoft, SharePoint sunucularını hedef alan yeni saldırıların ardından iki sıfırıncı gün açığını kapatan acil bir güvenlik yaması yayınladı. Dünya genelinde en az 54 kuruluşun etkilendiği ToolShell saldırılarına karşı önlem alınması amacıyla SharePoint Server 2019 ve SharePoint Subscription Edition sürümleri için güncellemeler indirilmeye sunuldu.

İki Yeni Açık ToolShell Saldırılarına Zemin Hazırladı

Berlin’de düzenlenen Pwn2Own 2024 yarışmasında güvenlik araştırmacıları, SharePoint üzerinde ToolShell adını verdikleri bir açık zinciri kullanarak uzaktan kod çalıştırma gerçekleştirdi. Microsoft bu açıkları Temmuz ayı Patch Tuesday kapsamında yamaladı. Ancak tehdit aktörleri, bu yamaları aşarak CVE-2025-53770 ve CVE-2025-53771 olarak tanımlanan iki yeni açık daha keşfetti.

Microsoft, SharePoint Server 2019 kullanıcıları için KB5002754 ve SharePoint Subscription Edition kullanıcıları için KB5002768 güncellemesini yayınladı. SharePoint 2016 için güncellemeler üzerinde çalışmalar sürüyor, bu sürüm için henüz bir yama bulunmuyor. Microsoft’un açıklamasına göre, bu yeni yamalar daha önce yayınlanan CVE-2025-49704 ve CVE-2025-49706 yamalarına göre daha güçlü güvenlik önlemleri içeriyor.

Yamaların kurulumunun ardından yöneticilerin SharePoint makine anahtarlarını yenilemesi gerekiyor. Microsoft bu işlem için iki yöntem sunuyor:

💡PowerShell Üzerinden:
Update-SPMachineKey komutu kullanılarak anahtarlar manuel şekilde yenilenebiliyor.

💡Central Administration Paneli Üzerinden:

1. Central Administration sayfasına girin.
2. Monitoring → Review job definitions menüsünü açın.
3. “Machine Key Rotation Job” görevini bulun ve “Run Now” seçeneğiyle çalıştırın.
4. İşlem tamamlandıktan sonra tüm SharePoint sunucularında IIS’i iisreset.exe komutuyla yeniden başlatın.

⚠️Microsoft, saldırıya uğramış sistemlerde aşağıdaki belirtilere dikkat edilmesini öneriyor:

• C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\spinstall0.aspx dosyasının oluşturulması.
• IIS günlüklerinde _layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx adresine POST isteği gönderildiğine dair kayıtlar.
• _layouts/SignOut.aspx adresinden yönlendirilmiş HTTP referansları.

💡Microsoft 365 Defender kullanan yöneticiler aşağıdaki sorguyla bu dosyanın oluşturulup oluşturulmadığını kontrol edebilir:

DeviceFileEvents
| where FolderPath has "MICROS~1\\WEBSER~1\\16\\TEMPLATE\\LAYOUTS"
| where FileName =~ "spinstall0.aspx"
or FileName has "spinstall0"
| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine, FileName, FolderPath, ReportId, ActionType, SHA256
| order by Timestamp desc

Eğer dosya bulunursa, sunucuda ve bağlı tüm sistemlerde kapsamlı bir güvenlik soruşturması yapılması tavsiye ediliyor.