Microsoft SharePoint sunucularını etkileyen iki kritik güvenlik açığı, herkese açık PoC kodlarının ardından saldırganların hedeflediği bir RCE zincirine dönüştü. CVE-2026-55040 ile kimlik doğrulama mekanizmasını aşan saldırganlar, CVE-2026-63520 açığını kullanarak yamasız SharePoint Server sistemlerinde uzaktan kod çalıştırma yoluna ilerleyebiliyor. Defused, 25 Ağustos’ta kurduğu honeypot sistemlerinde zincirin ilk aşamalarını gözlemlediğini ancak henüz başarılı bir kod çalıştırma tespit etmediğini açıkladı.
SharePoint Saldırılarında İki Açık Birbirine Bağlanıyor
Defused tarafından incelenen saldırı trafiğinde CVE-2026-55040 önce kullanılarak SharePoint üzerindeki yetkisiz işlemlerin önü açılıyor. JWT doğrulama sürecindeki kimlik doğrulama açığı, ayrıcalığı olmayan saldırganların site kullanıcısı veya yönetici adına belirli işlemler gerçekleştirmesine izin verirken saldırı zincirinin sonraki aşaması için gerekli erişim koşullarını oluşturuyor.
Business Connectivity Services (BCS) bileşenindeki CVE-2026-63520 ise zincirin RCE aşamasını oluşturuyor. Kimlik doğrulaması gerektirmeyen saldırgan, ilk açığı başarıyla kullandıktan sonra Business Data Catalog bileşenindeki hedefi istismar ederek SharePoint Server üzerinde keyfî kod çalıştırmaya çalışabiliyor.
Rapid7 araştırmacısı Stephen Fewer, CVE-2026-55040 için PoC kodunu 11 Ağustos’ta yayımladı. VulnCheck araştırmacısı Jonathan Peterson ise CVE-2026-63520 için PoC çalışmasını 24 Ağustos’ta kamuya açtı ve iki açığın saldırı zincirinde kullanılmasını kolaylaştıran teknik parçalar kısa süre içinde aynı ekosistemde bulunur hale geldi.
PoC Kodunun Ardından Saldırı Trafiği Hızlandı
Rapid7 tarafından yayımlanan CVE-2026-55040 PoC kodunun internete açılmasından yalnızca bir gün sonra Defused, saldırganların aynı kodu gerçek saldırılarda kullanmaya başladığını bildirdi. Güvenlik şirketinin 25 Ağustos tarihli gözlemleri ise saldırganların artık tek bir açığı denemek yerine iki SharePoint zafiyetini ardışık şekilde yokladığını gösterdi.
Defused’un honeypot kayıtlarında saldırganlar önce JWT doğrulama açığını kullanmaya çalıştıktan sonra yönetici hesapları ile yetkileri hakkında yoğun keşif faaliyetleri gerçekleştirdi. Trafiğin devamında Business Data Catalog bileşeninin CVE-2026-63520 ile ilişkili hedefleri araştırılırken Defused henüz kod çalıştırma aşamasına ulaşıldığını gözlemlemedi.
Shadowserver’ın internet taramalarında 8.700’den fazla Microsoft SharePoint sunucusunun çevrim içi olarak erişilebilir durumda olduğu görüldü. Söz konusu sayı, savunmasız sistemlerin tamamını temsil etmiyor çünkü tarama sonucu sunucuların hangi bölümünün hâlâ yamasız olduğu veya honeypot olarak çalıştırıldığı konusunda kesin bir ayrım sunmuyor.
İnternete doğrudan açık bir SharePoint Server, kimlik doğrulama katmanındaki bir zafiyet saldırgana erişim sağladığında kuruluşun iç sistemlerine açılan kritik bir başlangıç noktası oluşturabiliyor. Özellikle şirket içi çalışan SharePoint kurulumları, Microsoft 365 üzerindeki bulut hizmetlerinden farklı olarak kurumun kendi yama, ağ segmentasyonu ve erişim politikalarına bağlı olduğu için güvenlik ekiplerinin sunucu seviyesinde müdahale etmesi gerekiyor.
CISA, 18 Ağustos’ta federal kurumlar ile ağ savunucularına CVE-2026-55040 saldırılarını dikkate alarak SharePoint Server sistemlerini güvence altına alma talimatı verdi. Kurum ayrıca Microsoft’un SharePoint Server güvenlik sıkılaştırma önerilerinin incelenmesini isterken internete doğrudan açık sunucuların gerekli olmadıkça dış erişime kapatılmasını tavsiye etti.
CISA’nın 15 Temmuz’daki uyarısı ise CVE-2026-32201, CVE-2026-45659 ve CVE-2026-56164 açıklarının internet üzerinden erişilebilen şirket içi SharePoint Server kurulumlarını hedef alan saldırılarda aktif olarak kullanıldığını ortaya koydu. Kurum, CVE-2026-45659 için 2026’nın temmuz ayı başından itibaren aktif istismar bildirimleri yapılırken açığın daha sonra fidye yazılımı saldırılarında da kullanıldığını doğruladı.
Microsoft’un CVE-2026-63520 için yaptığı değerlendirme, açığın tehdit aktörleri açısından cazip bir hedef olduğunu ortaya koyuyor ancak Microsoft henüz söz konusu zafiyeti aktif olarak istismar edilen açıklar arasında sınıflandırmadı. Defused’un honeypot gözlemleri ise CVE-2026-63520’nin CVE-2026-55040 ile birlikte saldırganların keşif faaliyetlerinde yer aldığını göstererek riskin yalnızca teorik bir PoC seviyesinde kalmadığına işaret ediyor.
CISA’nın verileri SharePoint Server güvenliğinin son yıllarda sürekli saldırı baskısı altında olduğunu gösteriyor. Kurum, Kasım 2021’den bu yana 15 Microsoft SharePoint açığını aktif istismar edilen zafiyetler listesine alırken bu açıkların sekizi fidye yazılımı gruplarının saldırılarında da kullanıldı.
Kurumsal güvenlik ekipleri, CVE-2026-55040 ile CVE-2026-63520 için Microsoft tarafından yayımlanan güvenlik güncellemelerini gecikmeden uygulamalı, internet üzerinden erişim gerekmeyen SharePoint Server örneklerini dış ağdan ayırmalı. Güvenlik operasyon merkezleri ayrıca JWT doğrulama anomalilerini, beklenmeyen yönetici keşiflerini ve Business Data Catalog bileşenine yönelik olağandışı istekleri birlikte değerlendirerek zincirleme saldırı belirtilerini aramalı.
Türkiye’deki şirketler açısından özellikle şirket içinde barındırılan SharePoint Server kurulumları öncelikli kontrol noktası oluşturuyor. Microsoft 365 kullanan kuruluşların bulut hizmetleriyle aynı güvenlik varsayımlarını şirket içi SharePoint altyapısına taşımaması gerekirken eski sunucuların internete açık kalması, saldırganların yayımlanmış PoC kodlarından yararlanarak yeni saldırı zincirlerini daha hızlı denemesine zemin hazırlayabilir.
CVE-2026-55040 ile CVE-2026-63520 için sonraki kritik aşama, honeypot ortamlarında görülen keşif trafiğinin gerçek sistemlerde doğrulanmış uzaktan kod çalıştırma vakalarına dönüşüp dönüşmeyeceği olacak. Açıkların PoC kodlarının kamuya yayılması, internet erişimine açık SharePoint Server sayısının yüksekliği ve geçmiş SharePoint açıklarının fidye yazılımı saldırılarında kullanılması, savunma ekiplerinin yalnızca yama uygulanmasını değil saldırı belirtilerinin geriye dönük incelenmesini de önceliklendirmesini gerektiriyor.
