Een SharePoint-kwetsbaarheid die vorige maand is gepatcht, blijkt al snel na de publicatie van een proof-of-concept (PoC) te worden uitgebuit in aanvallen. Het gaat om SharePoint CVE-2026-55040. Daarbij draait het om een zwakke authenticatie: een aanvaller kan over het netwerk een beveiligingscontrole omzeilen en daarna acties uitvoeren alsof hij een SharePoint-sitegebruiker (of zelfs beheerder) is.
Hoewel Microsoft in de bijbehorende advisory aanvankelijk geen actieve exploitatie noemde, melden onderzoekers dat er wel degelijk pogingen worden gezien zodra de PoC beschikbaar kwam. In dit artikel zetten we de risico’s, signalen en praktische stappen op een rij.
Wat is SharePoint CVE-2026-55040 en wat kan een aanvaller doen?
SharePoint CVE-2026-55040 is door Microsoft gefixt in de July Patch Tuesday-updates. In de kern beschrijft Microsoft het als een zwakke authenticatie: een aanvaller kan een beveiligingsfeature omzeilen via netwerkverkeer. Dat maakt het mogelijk om een anonieme verbinding te maken die niet als zodanig zou moeten werken.
De impact volgens Microsoft is tweeledig: aanvallers kunnen bestanden openbaar maken en data wijzigen. Rapid7 heeft vervolgens de technische details gedeeld en een remote, unauthenticated scenario uitgewerkt: zonder geldige authenticatie kan iemand authenticatie omzeilen en opereren met rechten van een SharePoint-sitegebruiker of -beheerder.
Waarom PoC-release zo snel tot echte aanvallen kan leiden
De timing is een belangrijke waarschuwing voor organisaties. De aanvallen begonnen volgens de meldingen kort na de release van een PoC-script. Rapid7 publiceerde de technische uitleg op 11 augustus en stelde daarbij een PoC-script beschikbaar. Defused rapporteerde op 12 augustus dat hun honeypots exploitatiepogingen zagen die gebruikmaakten van de PoC van Rapid7.
Dit patroon zie je vaker: wanneer een kwetsbaarheid al gepatcht is, kan de beschikbaarheid van een werkende PoC toch snel leiden tot pogingen tegen niet-geüpdatete systemen. Daarom is het niet voldoende om alleen te weten dat er een patch is; je moet ook zeker weten dat die patch daadwerkelijk is doorgevoerd.
Wat weten we (nog) niet over de aanvallers?
Microsoft’s advisory noemde geen exploitatie op het moment van publicatie. Dat sluit niet uit dat er toch al activiteit was of later ontstond. In elk geval is er geen publieke informatie die duidelijk maakt wie verantwoordelijk is voor de uitbuiting van SharePoint CVE-2026-55040.
Wel is bekend dat CISA organisaties heeft opgeroepen om hun SharePoint-implementaties actueel en beschermd te houden. CISA waarschuwde destijds expliciet dat de kwetsbaarheid mogelijk in het wild wordt misbruikt, en het volgde de situatie op via monitoring en advisering.
Extra risico: ketting met CVE-2026-63520
Naast SharePoint CVE-2026-55040 noemt Rapid7 een tweede SharePoint-kwetsbaarheid: CVE-2026-63520. Volgens Rapid7 kan deze flaw in combinatie worden gebruikt met CVE-2026-55040 om te komen tot unauthenticated remote code execution (RCE) op servers.
CVE-2026-63520 is door Microsoft aangepakt met de August Patch Tuesday-updates. Volgens de meldingen is er geen indicatie dat ook deze specifieke kwetsbaarheid al wordt uitgebuit. Toch is de boodschap helder: wie alleen naar één CVE kijkt, mist mogelijk het bredere aanvalspad.
SharePoint-uitbuiting dit jaar: meer dan één CVE
De zomer laat een duidelijke toename zien van SharePoint-kwetsbaarheden waarvan exploitatie naar buiten kwam. SharePoint CVE-2026-55040 is niet de eerste die dit patroon laat zien. In de periode daarvoor werden ook andere kwetsbaarheden genoemd, waaronder CVE-2026-50522, CVE-2026-58644, CVE-2026-56164 en CVE-2026-45659.
Hoewel het niet duidelijk is wie achter de exploitatie van deze zwakheden zit, laat het wel zien dat het aanvalsvlak rond SharePoint serieus is. Voor security teams betekent dit: prioriteit geven aan snelle patching, plus het verifiëren van de status in de omgeving.
Wat kun je nu doen? Praktische checklist voor security teams
Als je SharePoint gebruikt, is dit een moment om je basismaatregelen scherp te zetten. Hieronder staan concrete acties die passen bij de aard van SharePoint CVE-2026-55040 en het feit dat exploitatiepogingen al worden gemeld.
- Controleer patchstatus op July Patch Tuesday: verifieer dat de updates die CVE-2026-55040 oplossen ook daadwerkelijk op je SharePoint-omgeving zijn toegepast.
- Check ook de August Patch Tuesday- fixes: omdat CVE-2026-63520 in theorie kan worden gecombineerd, wil je voorkomen dat een keten mogelijk wordt.
- Monitor voor exploitatiepogingen: kijk naar logbronnen en detecties die passen bij anonieme of onverwachte netwerktoegang richting SharePoint.
- Voer toegangs- en rechtenreductie door: minimaliseer waar mogelijk privileges van accounts die toegang hebben tot gevoelige locaties en data.
- Test incidentrespons: zorg dat je team weet hoe het moet handelen wanneer er exploitatiepogingen worden gedetecteerd, inclusief snelle isolatie en forensisch onderzoek.
Let op: patchen is de kernmaatregel, maar omdat aanvallen snel kunnen opstarten zodra een PoC rondgaat, wil je ook detectie en respons laten aansluiten op de praktijk.
Vergelijkbare aanpak: exploitatie na PoC is een terugkerend thema
Deze situatie past in een breder patroon binnen cyberveiligheid: kwetsbaarheden verschijnen in advisories, worden gepatcht, en zodra er technische details of scripts circuleren, neemt het aantal pogingen toe. Het is daarom verstandig om je patchproces te koppelen aan monitoring en vulnerability management.
Als je wilt verdiepen in de bredere context van exploitontwikkeling en PoC-gedreven aanvallen, kun je ook lezen hoe PoC’s en zwakke punten zich vertalen naar praktische risico’s in andere Microsoft-incidenten. Bijvoorbeeld: August 2026 Patch Tuesday: focus op Microsoft fixes.
Snelle conclusie: patch nu, monitor continu
SharePoint CVE-2026-55040 laat zien hoe snel een gepatchte kwetsbaarheid opnieuw aandacht kan krijgen. Zodra de PoC beschikbaar is, verschijnen er exploitatiepogingen en kunnen aanvallers authenticatie omzeilen en vervolgens informatie ontsluiten of data aanpassen.
Pak het daarom structureel aan: zet de juiste updates door, controleer of ze echt actief zijn, en versterk je detectie op anonieme of verdachte netwerktoegang richting SharePoint. Alleen zo voorkom je dat een theoretische kwetsbaarheid verandert in een praktisch incident.
Gerelateerde lectuur: AI-ondersteunde SharePoint exploitketen: on-auth RCE
Bron: https://www.securityweek.com/sharepoint-vulnerability-exploited-shortly-after-poc-release/
