Hackers combineren twee SharePoint-kwetsbaarheden voor volledige overname van de server

Een proof-of-concept exploit chain tegen on-premises Microsoft SharePoint Server wordt nu daadwerkelijk gebruikt in aanvallen, en het tijdsverschil tussen “onderzoeker publiceert een techniek” en “aanvaller maakt er een wapen van” was één dag. Dat is de tijdlijn die onderzoeker Defused rapporteerde voor CVE-2026-55040, de authentication bypass die centraal staat in de nieuwste golf van SharePoint-exploitaties, volgens BleepingComputer’s verslaggeving.

De chain combineert twee verschillende kwetsbaarheden. CVE-2026-55040 is een JWT token authentication bypass die een niet-geauthenticeerde aanvaller toestaat zich voor te doen als een SharePoint-sitegebruiker of zelfs als sitebeheerder, zonder ooit geldige inloggegevens te tonen. CVE-2026-63520 is een aparte kwetsbaarheid in SharePoint’s Business Connectivity Services (BCS) die, zodra een aanvaller de authenticatie heeft omzeild, kan worden gekoppeld aan volledige remote code execution op een niet-gepatchte server. Stephen Fewer van Rapid7 publiceerde proof-of-concept code voor CVE-2026-55040 op 11 augustus. Jonathan Peterson van VulnCheck volgde met proof-of-concept code voor CVE-2026-63520 op 24 augustus. Binnen ongeveer twee weken na de eerste bekendmaking had de sector een gedocumenteerd, werkend pad van nul toegang tot code-executie op een SharePoint Server.

Voor elke organisatie die nog steeds on-premises SharePoint Server gebruikt om gevoelige data uit te wisselen, op te slaan of samen te werken, is dit geen ver-van-je-bed-advies. Het bevestigt dat het platform een actief aangevallen oppervlak blijft voor aanvallers die de authenticatie- en integratielagen beter begrijpen dan de meeste organisaties die het gebruiken. CVE-2026-55040 zelf werd gepatcht op 14 juli 2026, als onderdeel van een golf SharePoint Server-fixes die ook vijf vermeldingen opleverde in de CISA Known Exploited Vulnerabilities catalogus. Dat er sinds juli een patch bestaat, heeft de proof-of-concept exploitatie van deze maand niet gestopt, omdat niet-gepatchte instanties nog steeds bereikbaar zijn en omdat het recent onthulde BCS-lek aanvallers een nieuwe manier biedt om die oude bypass om te zetten in een volledige compromittering.

In dit artikel wordt uitgelegd wat de twee CVE’s daadwerkelijk doen, waarom de eendaagse weaponization-tijdlijn belangrijker is dan de CVSS-score, en wat het patroon betekent voor CISOs en compliance-leiders die moeten aantonen – niet alleen beweren – dat gevoelige data die via platforms als Kiteworks secure data exchange loopt, onder controle blijft, ongeacht wat er met aangrenzende infrastructuur gebeurt.

Belangrijkste inzichten

1. Er bestaat nu een werkende exploit chain voor on-premises SharePoint Server.

CVE-2026-55040 (JWT authentication bypass) en CVE-2026-63520 (een kwetsbaarheid in Business Connectivity Services) kunnen worden gecombineerd om van nul toegang naar remote code execution te gaan op niet-gepatchte servers.

2. Weaponization vond plaats in ongeveer één dag.

Onderzoeker Defused documenteerde dat de proof-of-concept code voor CVE-2026-55040 al binnen één dag na publicatie door Rapid7 werd gebruikt in echte aanvallen. Publicatie en exploitatie zijn nu vrijwel gelijktijdige gebeurtenissen.

3. Patching sluit de CVE. Het sluit niet de architectuur.

CVE-2026-55040 werd gepatcht op 14 juli 2026, maar het onderliggende patroon – authentication bypass gekoppeld aan deserialisatie- of integratielaag-RCE – blijft terugkeren in on-premises SharePoint Server omdat het aanvalsvlak structureel is.

4. Dit betreft on-premises SharePoint Server, niet SharePoint Online.

De twee verwarren is een feitelijke fout die organisaties tot verkeerde conclusies over hun eigen blootstelling leidt; SharePoint Online was niet het doelwit van deze exploit chain.

5. De compliance-vraag is net zo belangrijk als de technische.

Voor CISOs en compliance officers is de echte blootstelling niet alleen serverovername; het is het onvermogen om op verzoek bewijs te leveren dat gevoelige content die via een getroffen platform liep, tijdens het blootstellingsvenster geautoriseerd, versleuteld en gelogd bleef.

Wat CVE-2026-55040 en CVE-2026-63520 daadwerkelijk doen

CVE-2026-55040 zit in de manier waarop on-premises SharePoint Server JWT (JSON Web Token) authenticatie valideert. Een correct geïmplementeerde tokenvalidatie-pijplijn zou het computationeel onmogelijk moeten maken voor een buitenstaander om een geldige sessie te vervalsen. Deze kwetsbaarheid doorbreekt dat uitgangspunt. Een aanvaller zonder privileges, zonder geldige inloggegevens en zonder eerdere toegang kan een verzoek samenstellen dat SharePoint Server behandelt als afkomstig van een legitieme sitegebruiker, of in het ergste geval, een sitebeheerder. Dit is een volledige authentication bypass, geen privilege escalation vanuit een bestaand laagprivilege-account.

CVE-2026-63520, met een CVSS-score van 8.1 (Hoog) volgens VulnCheck’s technische analyse, bevindt zich in een ander deel van het platform: Business Connectivity Services, de integratielaag die SharePoint gebruikt om verbinding te maken met externe bedrijfsdatabronnen zoals databases, ERP-systemen en maatwerkapplicaties. De oorzaak is een onveilige .NET type-instantiering die een aanvaller toestaat een deserialisatie-gadget chain te misbruiken, gebaseerd op de System.Web.UI.LosFormatter-klasse, om willekeurige code op de server uit te voeren. BCS is krachtig ontworpen; het is bedoeld om SharePoint namens de gebruiker data te laten lezen en schrijven in externe systemen. Diezelfde ontwerpintentie maakt het gevaarlijk zodra een aanvaller de authenticatie heeft omzeild. Een component die toegang tot externe systemen regelt, gecombineerd met door de aanvaller gecontroleerde input, wordt zo een pad naar remote code execution op de server zelf.

Geen van beide kwetsbaarheden is op zichzelf bijzonder. Authentication bypasses en integratielaag-deserialisatie- of injectiekwetsbaarheden komen herhaaldelijk voor in enterprise collaboration platforms. Wat deze combinatie bijzonder maakt, is de eenvoud: CVE-2026-55040 geeft een aanvaller toegang zonder inloggegevens, en CVE-2026-63520 biedt diezelfde aanvaller een route om code uit te voeren zodra hij binnen is. Elk afzonderlijk is een ernstig probleem. In combinatie vormen ze een compleet, niet-geauthenticeerd pad naar servercompromittering – precies het soort bevinding dat eerst als proof of concept verschijnt en vaak binnen enkele dagen als actieve exploitatiecampagne.

Van Proof of Concept naar live exploitatie in dagen

De tijdlijn is het deel van dit verhaal dat meer aandacht verdient dan de individuele CVE-nummers. Stephen Fewer van Rapid7 publiceerde proof-of-concept code voor CVE-2026-55040 op 11 augustus. Volgens onderzoeker Defused werd die code de volgende dag al waargenomen als weaponized in echte aanvallen. Jonathan Peterson van VulnCheck publiceerde proof-of-concept code voor CVE-2026-63520 op 24 augustus, waarmee aanvallers het tweede deel van de chain kregen, ongeveer twee weken later.

Deze versnelling is niet nieuw voor 2026, maar het venster wordt steeds korter, en on-premises SharePoint Server is een terugkerend proefterrein geworden. Een patch die op Microsofts releasekalender staat, heeft geen nut als deze niet daadwerkelijk is toegepast, en de Patch Tuesday-cyclus is nooit ontworpen om te concurreren met een exploitatievenster van dezelfde dag. Securityteams die proof-of-concept publicatie als signaal zien om een patchcyclus te plannen, behandelen het in de praktijk als een signaal dat al verlopen is tegen de tijd dat ze het advies lezen.

Palo Alto Networks’ Unit42, die de gerelateerde 2025 SharePoint “ToolShell” exploitatiecampagne analyseerde, een eerdere authentication-bypass-naar-RCE chain tegen hetzelfde on-premises platform, stelde het duidelijk: “Alleen patchen is onvoldoende om de dreiging volledig te verwijderen.” Die conclusie werd getrokken in de context van aanvallers die, eenmaal binnen via een authentication bypass, lateraal bewogen en in sommige gevallen IIS machine key-materiaal stalen – inloggegevens die een patch en het verwijderen van een web shell overleven omdat ze nooit zijn vervangen. Het is dezelfde les die deze maand opnieuw wordt geleerd. Een server kan vandaag volledig gepatcht zijn en toch gecompromitteerd blijven als de inloggegevens die bij een eerdere inbraak zijn aangeraakt nooit ongeldig zijn gemaakt. Patchen beantwoordt de vraag “is deze specifieke kwetsbaarheid nog uit te buiten.” Het beantwoordt niet de vraag “is deze server, en alles wat ermee verbonden is, nog betrouwbaar.”

Dit is een patroon, geen geïsoleerd incident

Kijk je breder dan deze twee CVE’s, dan wordt een patroon zichtbaar in de recente geschiedenis van on-premises SharePoint Server: authentication- en integratielaagkwetsbaarheden, gekoppeld, leveren ongeauthenticeerde remote code execution op, gevolgd door snelle proof-of-concept weaponization. De golf van juli 2026 die CVE-2026-55040 patchte, leidde ook tot CISA’s SharePoint-hardening alert van 14 juli 2026 en meerdere vermeldingen in de CISA Known Exploited Vulnerabilities catalogus, elk met een eigen hersteldeadline van dagen, niet maanden. Resecurity’s analyse van die aanvalsketen documenteerde een progressie van initiële ongeauthenticeerde toegang, via code-executie, naar web shell-inzet, diefstal van inloggegevens en laterale beweging richting domeincompromittering.

CVE-2026-63520 breidt datzelfde structurele verhaal uit naar een nieuw integratieoppervlak. Het is een ander codepad dan de deserialisatiekwetsbaarheden uit juli, maar levert hetzelfde resultaat via hetzelfde algemene mechanisme: een authenticatielaag die te omzeilen is, gevoed in een tweede component die gebouwd is om geauthenticeerde verzoeken te vertrouwen en daarom nooit is gehard tegen door aanvallers gecontroleerde input via een open voordeur. Tenable’s FAQ over de gerelateerde SharePoint Server CVE’s maakt een vergelijkbaar punt: dit zijn geen op zichzelf staande programmeerfouten, maar terugkerende symptomen van een platform waar authenticatie-, deserialisatie- en integratiecomponenten elk een onafhankelijk aanvalsvlak vormen, en waar een kwetsbaarheid in één van hen gecombineerd kan worden met een andere om volledige compromittering te veroorzaken.

Voor een CISO is de relevante vraag niet “hebben we CVE-2026-55040 en CVE-2026-63520 gepatcht.” Het is “hoeveel andere componenten in dit platform dragen hetzelfde type risico, en hoe zouden we dat weten voordat het volgende proof of concept het ons vertelt.” Dat is een architectuurvraag, geen patchmanagementvraag, en het heeft geen patchmanagementantwoord.

Waarom alleen patchen het gat niet sluit

Drie dingen zijn tegelijk waar, en organisaties die zich alleen aan het eerste vasthouden, blijven maanden later nog steeds blootgesteld. Ten eerste: Microsoft heeft op 14 juli 2026 een patch uitgebracht voor CVE-2026-55040, en organisaties die deze hebben toegepast, zijn niet langer kwetsbaar voor die specifieke bypass. Ten tweede: het eendaagse weaponization-venster betekent dat elke organisatie die de patch niet al had toegepast voordat de proof-of-concept code openbaar werd, vrijwel direct werd blootgesteld aan actieve exploitatie, zonder waarschuwingsperiode tussen “dit is theoretisch uit te buiten” en “dit wordt daadwerkelijk uitgebuit.” Ten derde, en het minst besproken: het patchen van een kwetsbaarheid maakt niet met terugwerkende kracht ongeldig wat een aanvaller mogelijk al heeft benaderd, gekopieerd of bewaard tijdens een eerder compromisvenster.

Dit is waarom de compliance- en audit-lezer een andere, en misschien wel urgentere, vraag heeft dan de security-engineering-lezer. De securityvraag is “is de server gepatcht.” De compliancevraag is “kunnen we bewijs leveren dat elk stuk gevoelige content dat deze server tijdens het blootstellingsvenster heeft verwerkt, alleen door geautoriseerde identiteiten is benaderd, en zo niet, hebben we dan een verdedigbaar, bewijswaardig overzicht van precies wat is blootgesteld.” HIPAA, CMMC en ITAR maken geen onderscheid tussen “we hadden een datalek omdat we niet gepatcht hadden” en “we hadden een datalek één dag nadat een patch theoretisch beschikbaar kwam.” Toezichthouders, auditors en tegenpartijen in rechtszaken zullen vragen welke data op het platform stond, wie erbij kon en wat de audittrail laat zien. Een on-premises SharePoint Server-omgeving die maatwerkinstrumentatie nodig heeft om die vraag te beantwoorden, begint met een achterstand zodra zich een incident als dit voordoet.

De architectuurvraag die compliance- en securityleiders moeten stellen

Kiteworks zat niet letterlijk in de datapath van dit incident. On-premises SharePoint Server is een Microsoft-native platform waar Kiteworks niet voor zit, en niets in dit artikel moet worden gelezen als een claim dat Kiteworks deze specifieke aanvalsketen had kunnen voorkomen. De overeenkomst zit in de architectuur, niet in het tegenfeitelijke.

Kiteworks secure data exchange stelt geen JWT tokenvalidatie-pijplijn bloot zoals misbruikt in CVE-2026-55040, en vertrouwt niet op een Business Connectivity Services-achtige integratielaag voor data-toegang. Elk verzoek om content, mens of machine, wordt gemedieerd via het Kiteworks Control Plane, dat beleid afdwingt per verzoek, zero trust in plaats van duurzaam, sessiegebaseerd vertrouwen te geven aan wie een token presenteert. Dat onderscheid is belangrijk omdat tokenvervalsing en sessietrust-kwetsbaarheden juist maakten dat de exploitatieketen van deze maand mogelijk was.

De compliance-laag onder die architectuur is net zo belangrijk als de architectuur zelf. Kiteworks heeft de FedRAMP High In-Process-status en heeft FedRAMP Moderate authorization onafgebroken sinds 2017, negen opeenvolgende jaren van onafhankelijke controlevalidatie die on-premises, klantbeheerde software niet zelfstandig kan dragen; FedRAMP-autorisatie geldt voor een managed service, niet voor software die een organisatie zelf inzet en beveiligt. Kiteworks ondersteunt ook 90% van de CMMC Level 2 vereiste out-of-the-box, gebruikt FIPS 140-3 gevalideerde encryptie en heeft SOC 2 Type II en ISO 27001 certificeringen naast ITAR, HIPAA BAA, GDPR en CCPA ondersteuning. Dit is geen bewering dat Kiteworks immuun is voor elke categorie kwetsbaarheid; geen enkel platform kan die claim eerlijk maken. Het is een statement over welke categorieën aanvalsvlak – ongeauthenticeerde JWT bypass en integratielaag-RCE via een generiek samenwerkingsplatform – niet van toepassing zijn op hoe Kiteworks is gebouwd.

Voor organisaties die overwegen wat te doen met gevoelige workflows die nog steeds via on-premises SharePoint Server lopen, is de praktische vraag niet of SharePoint volledig moet worden verlaten. Het is: welke workflows bevatten gereguleerde of anderszins gevoelige content die beter af zou zijn op een platform waar toegangscontroles, RBAC en logging van bewijsniveau native in de architectuur zijn ingebouwd, in plaats van achteraf toegevoegd via maatwerkinstrumentatie.

Wat gereguleerde organisaties nu moeten doen

Bevestig onmiddellijk de patchstatus voor CVE-2026-55040 en CVE-2026-63520 als je on-premises SharePoint Server 2016, 2019 of Subscription Edition gebruikt; dit geldt niet voor SharePoint Online. Stop niet bij het bevestigen dat de patch is toegepast. Vervang IIS machine keys en alle inloggegevens waar de server toegang toe had, aangezien de bevinding van Palo Alto Unit42 dat “alleen patchen onvoldoende is om de dreiging volledig te verwijderen” specifiek ging over het voortbestaan van credentials en keys na een patch. Controleer de authentication- en Business Connectivity Services logs voor het blootstellingsvenster tussen de eerste bekendmaking en het toepassen van de patch, en beschouw elk gat in die logging als een bevinding op zich, niet alleen als een technisch ongemak. Maak tenslotte een inventarisatie van welke gevoelige of gereguleerde workflows nog via on-premises SharePoint Server lopen en beoordeel of elk van deze workflows het incident response– en bewijslastniveau vereist dat dit platform nu met zich meebrengt, of dat deze workflows beter passen op infrastructuur die vanaf de basis is gebouwd voor gereguleerde data exchange.

Wil je meer weten over het bemiddelen van elk dataverzoek via een zero trust Control Plane in plaats van een sessiegebaseerde authenticatiepijplijn, plan dan vandaag nog een demo op maat.

Aanvullende bronnen

• Blog Post Zero Trust Architectuur: Nooit vertrouwen, altijd verifiëren
• Video Microsoft GCC High: Nadelen die defensie-aannemers richting slimmere voordelen sturen
• Blog Post Hoe je geclassificeerde data beveiligt zodra DSPM het markeert
• Blog Post Vertrouwen opbouwen in Generatieve AI met een Zero Trust-aanpak
• Video De definitieve gids voor het veilig opslaan van gevoelige data voor IT-leiders