Eksploitasi SharePoint CVE-2026-55040 Meningkat Usai Rilis PoC Rapid7

Baru-baru ini, para pelaku ancaman mulai memanfaatkan kerentanan Microsoft SharePoint CVE-2026-55040 yang baru saja diungkapkan, setelah adanya rilis kode proof-of-concept (PoC) oleh Rapid7. Kerentanan ini memungkinkan bypass autentikasi yang kritis, berpotensi memungkinkan penyerang melakukan impersonasi sebagai pengguna atau administrator situs SharePoint.

Detail Kerentanan dan Dampaknya pada SharePoint

CVE-2026-55040 adalah celah keamanan dengan skor CVSS 9.1 yang ditemukan pada fitur autentikasi SharePoint. Microsoft telah mengeluarkan patch sebagai bagian dari pembaruan Patch Tuesday pada Juli 2026 untuk menutup celah ini. Menurut pengumuman resmi Microsoft, "Fitur autentikasi dapat dilewati karena kerentanan ini memungkinkan impersonasi. Eksploitasi celah ini dapat memungkinkan penyerang mengakses file dan memodifikasi data, namun tidak dapat memengaruhi ketersediaan sistem."

Namun, meskipun telah diperbaiki, pelaku ancaman kini mulai mengeksploitasi kerentanan ini dengan memanfaatkan PoC yang dirilis oleh Rapid7, mengindikasikan bahwa flaw tersebut sudah digunakan dalam serangan nyata.

Bagaimana Eksploitasi CVE-2026-55040 Terjadi?

Berdasarkan analisis Rapid7, kerentanan ini terjadi akibat beberapa masalah dalam pipeline validasi token JWT (JSON Web Token) yang digunakan SharePoint. Ada empat kelemahan yang dirangkai untuk memungkinkan penyerang tanpa autentikasi memalsukan JWT yang valid dan melakukan impersonasi terhadap pengguna situs SharePoint manapun, termasuk admin.

Masalah inti terletak pada dua kelas berbeda yang mengimplementasikan logika parsing dan validasi token untuk token Bearer layanan-antar layanan (S2S):

• SPJsonWebSecurityTokenHandlerV2
• SPJsonWebSecurityBaseTokenHandlerV2

Rangkaian eksploitasi dilakukan dengan langkah-langkah sebagai berikut:

1. Penyerang mengirim JWT dengan header luar "alg: none", sehingga tidak diperlukan tanda tangan pada token luar.
2. Header x5t pada token aktor berisi sidik jari sertifikat STS SharePoint sendiri, memungkinkan kunci penandatanganan dapat diambil tanpa verifikasi.
3. Sertifikat yang diambil tidak terdapat dalam TrustedSecurityTokenServices, sehingga penerbit dapat diterima.
4. Tanda tangan token aktor berupa nilai tidak kosong, misalnya "AAAA", namun tidak pernah diverifikasi.

Dengan cara ini, penyerang dapat menggunakan token JWT palsu untuk mengakses domain controller target, melakukan enumerasi pengguna berdasarkan SID, serta secara otomatis menemukan SID yang merupakan admin situs.

Data Eksploitasi dan Ancaman yang Meningkat

Menurut data telemetri yang dikumpulkan oleh KEVIntel, tercatat 12 percobaan eksploitasi sejak 19 Juli 2026, dengan 8 percobaan terjadi pada 12 dan 13 Agustus 2026. Lonjakan ini berkaitan erat dengan dirilisnya PoC Rapid7.

Usaha serangan tersebut berasal dari 8 alamat IP unik yang tersebar di 5 negara dan wilayah, yaitu Hong Kong, Jepang, Belanda, Taiwan, dan Amerika Serikat. Hingga saat ini, belum diketahui siapa pelaku di balik aktivitas eksploitasi ini maupun tujuan akhirnya.

SharePoint pengguna sangat dianjurkan untuk segera memperbarui sistem mereka agar terlindungi dari eksploitasi ini. Pengelola sistem harus memastikan patch Juli 2026 sudah diterapkan secara menyeluruh demi menjaga keamanan data dan layanan.

Analisis Redaksi

Menurut pandangan redaksi, eksploitasi CVE-2026-55040 menyoroti betapa kritisnya keamanan autentikasi dalam platform kolaborasi seperti SharePoint. Dengan semakin banyaknya organisasi yang mengandalkan SharePoint untuk pengelolaan dokumen dan kerja tim, celah ini bisa menjadi pintu masuk bagi serangan yang lebih luas, termasuk pencurian data sensitif dan manipulasi informasi internal.

Penting untuk dicatat bahwa meskipun Microsoft telah mengeluarkan patch, rilis PoC secara publik sering kali memicu lonjakan eksploitasi aktif. Hal ini mengingatkan kita pada kebutuhan mendesak untuk mempercepat penerapan patch keamanan di lingkungan perusahaan, serta meningkatkan kesadaran keamanan siber di kalangan pengelola TI.

Kedepannya, pantauan intensif terhadap aktivitas jaringan dan audit token autentikasi SharePoint menjadi langkah krusial. Para pemilik sistem juga disarankan untuk melakukan evaluasi menyeluruh terhadap mekanisme validasi JWT yang digunakan, guna mencegah eksploitasi berantai yang dapat mengancam integritas sistem secara keseluruhan.

Untuk informasi lebih mendalam dan pembaruan terkini mengenai perkembangan kerentanan ini, Anda dapat merujuk ke sumber asli di The Hacker News serta berita keamanan dari CNN Indonesia Teknologi.