Hacker Mulai Manfaatkan Exploit Baru Microsoft SharePoint dalam Serangan
Hacker mulai memanfaatkan exploit untuk kerentanan kritis pada Microsoft SharePoint setelah proof-of-concept (PoC) dipublikasikan oleh perusahaan keamanan siber Rapid7 pada Selasa.
Kerentanan tersebut dilacak sebagai CVE-2026-55040 dan merupakan kelemahan authentication bypass pada proses validasi token JWT. Celah ini memungkinkan attacker tanpa hak akses melakukan operasi dengan menyamar sebagai pengguna atau administrator SharePoint.
Microsoft telah memperbaiki kerentanan tersebut melalui pembaruan keamanan Patch Tuesday Juli 2026 dan sebelumnya meminta pelanggan yang menggunakan SharePoint Enterprise Server 2016 serta SharePoint Server 2019 segera memasang pembaruan.
Exploit SharePoint Sudah Digunakan dalam Serangan
Microsoft menjelaskan bahwa CVE-2026-55040 memungkinkan mekanisme authentication pada SharePoint dilewati melalui teknik impersonation.
Eksploitasi yang berhasil dapat memberikan kemampuan kepada attacker untuk mengakses atau mengungkap file serta memodifikasi data pada server SharePoint. Namun, kerentanan tersebut tidak memungkinkan attacker mengganggu availability sistem.
Situasi menjadi lebih serius setelah Rapid7 mempublikasikan analisis teknis mendalam mengenai kerentanan tersebut pada Selasa, sekaligus merilis PoC exploit yang dapat digunakan untuk mendemonstrasikan eksploitasi CVE-2026-55040.
Tidak lama setelah PoC tersedia, perusahaan threat intelligence Defused melaporkan bahwa kode exploit tersebut telah digunakan untuk menyerang SharePoint honeypot miliknya.
Menurut laporan tersebut, attacker telah menjalankan PoC Rapid7 terhadap sistem SharePoint yang sengaja digunakan sebagai target pemantauan untuk mendeteksi aktivitas berbahaya.
Perkembangan ini menunjukkan bahwa jeda waktu antara publikasi exploit dan pemanfaatannya oleh attacker dapat berlangsung sangat singkat.
Ribuan SharePoint Masih Terhubung ke Internet
Risiko eksploitasi semakin besar karena Microsoft SharePoint masih digunakan pada banyak lingkungan organisasi dan sebagian server dapat diakses langsung melalui Internet.
Pemantauan terhadap infrastruktur Internet saat ini menunjukkan terdapat lebih dari 8.500 server Microsoft SharePoint yang terekspos secara online.
Namun, jumlah tersebut tidak menunjukkan berapa banyak server yang merupakan honeypot maupun berapa banyak yang telah diperbarui untuk mengatasi CVE-2026-55040.
Server SharePoint yang dapat diakses langsung dari Internet menjadi target yang menarik karena attacker dapat melakukan scanning dan mencoba mengeksploitasi sistem yang belum mendapatkan security update.
CISA Sudah Memperingatkan Risiko CVE-2026-55040
Sebelum PoC tersebut digunakan dalam serangan yang terdeteksi, Cybersecurity and Infrastructure Security Agency (CISA) telah memperingatkan administrator mengenai potensi penyalahgunaan CVE-2026-55040.
Pada 15 Juli, CISA meminta organisasi untuk mengamankan server SharePoint mereka dan mengurangi paparan langsung ke Internet.
CISA juga merekomendasikan agar SharePoint tidak diekspos secara langsung ke Internet apabila akses tersebut tidak benar-benar diperlukan.
Selain melakukan patching, administrator disarankan mengikuti praktik hardening SharePoint Server dan membatasi akses ke komponen administratif yang tidak perlu tersedia dari jaringan eksternal.
Salah satu langkah yang direkomendasikan adalah memblokir akses eksternal ke SharePoint Central Administration.
Komunikasi antara komponen farm SharePoint dan database juga perlu dibatasi hanya pada sistem yang memang membutuhkannya.
Untuk lingkungan yang tetap membutuhkan akses SharePoint dari Internet, CISA merekomendasikan penggunaan Layer 7 reverse proxy atau kontrol keamanan pada application layer yang sejenis.
Pendekatan tersebut dapat memberikan lapisan perlindungan tambahan sebelum trafik mencapai server SharePoint.
SharePoint Menjadi Target Berulang bagi Hacker
CVE-2026-55040 bukan satu-satunya kerentanan SharePoint yang menjadi perhatian dalam beberapa bulan terakhir.
Sejak November 2021, CISA telah memasukkan 14 kerentanan Microsoft SharePoint ke dalam daftar kerentanan yang diketahui telah dieksploitasi secara aktif.
Delapan di antaranya juga diketahui telah dimanfaatkan dalam serangan ransomware.
Pada Juli 2026, Microsoft juga memperbaiki kerentanan SharePoint lain yang memungkinkan remote code execution dan kemudian diketahui telah dieksploitasi secara aktif.
Kerentanan tersebut, CVE-2026-45659, bahkan telah dikonfirmasi oleh CISA digunakan dalam serangan ransomware.
Perkembangan tersebut menunjukkan bahwa server SharePoint yang belum diperbarui dapat menjadi jalur masuk penting bagi attacker, terutama ketika sistem memiliki akses langsung dari Internet.
Administrator Diminta Segera Memasang Patch
Microsoft memang belum menyatakan bahwa CVE-2026-55040 telah berhasil dieksploitasi secara luas di dunia nyata. Namun, keberadaan PoC publik dan laporan penggunaannya terhadap honeypot menunjukkan bahwa attacker sudah mulai memasukkan exploit tersebut ke dalam aktivitas mereka.
Bagi organisasi yang menjalankan SharePoint Enterprise Server 2016 atau SharePoint Server 2019, pemasangan pembaruan keamanan yang mengatasi CVE-2026-55040 menjadi langkah penting untuk mengurangi risiko.
Selain patching, administrator sebaiknya mengevaluasi kembali apakah server SharePoint memang perlu dapat diakses langsung dari Internet, membatasi akses administratif, serta menerapkan reverse proxy atau kontrol keamanan application layer jika akses eksternal tetap diperlukan.
Dengan PoC yang sudah tersedia secara publik, organisasi sebaiknya tidak menunggu hingga aktivitas eksploitasi terdeteksi pada infrastrukturnya sebelum melakukan tindakan mitigasi.
Sumber: Microsoft SharePoint
