CISA: Celah Microsoft SharePoint Kini Dieksploitasi dalam Serangan Ransomware
CISA mengonfirmasi bahwa kelompok ransomware mulai mengeksploitasi kerentanan high-severity pada Microsoft SharePoint untuk menjalankan serangan terhadap server yang belum diperbarui.
Kerentanan tersebut dilacak sebagai CVE-2026-45659 dan memungkinkan penyerang dengan hak akses rendah menjalankan arbitrary code pada server Microsoft SharePoint yang rentan. Sebelumnya, celah ini telah dinyatakan aktif dieksploitasi sejak awal Juli dan sudah masuk ke dalam Known Exploited Vulnerabilities (KEV) Catalog milik CISA.
Kini, CISA memperbarui catatannya dengan menyatakan bahwa kerentanan tersebut juga telah digunakan dalam kampanye ransomware.
Kerentanan SharePoint Memungkinkan Remote Code Execution
CVE-2026-45659 berasal dari kelemahan deserialization of untrusted data pada Microsoft SharePoint.
Dalam kondisi tertentu, penyerang dengan privileges rendah dapat memanfaatkan kelemahan tersebut untuk menjalankan kode secara arbitrer pada server SharePoint yang belum dipatch.
Risikonya semakin besar karena eksploitasi kerentanan ini tidak membutuhkan tingkat kompleksitas tinggi. Penyerang juga tidak harus memiliki pengetahuan mendalam mengenai sistem target sebelum menjalankan serangan.
Microsoft sebelumnya menjelaskan bahwa payload dapat digunakan secara berulang terhadap komponen SharePoint yang rentan sehingga serangan dapat dilakukan dengan tingkat keberhasilan yang relatif konsisten.
Kondisi tersebut menjadikan server SharePoint yang terekspos ke internet sebagai target menarik bagi kelompok ransomware yang mencari akses awal ke jaringan perusahaan.
CISA Sudah Memasukkan Celah Ini ke KEV
CISA memasukkan CVE-2026-45659 ke dalam Known Exploited Vulnerabilities Catalog pada 1 Juli 2026.
Pada saat itu, lembaga keamanan siber Amerika Serikat tersebut meminta Federal Civilian Executive Branch (FCEB) untuk mengamankan server yang terdampak dalam waktu tiga hari.
CISA menilai jenis kerentanan seperti ini sebagai salah satu jalur serangan yang sering digunakan oleh pelaku kejahatan siber dan dapat menimbulkan risiko signifikan terhadap lingkungan enterprise.
Setelah memasukkan celah tersebut ke KEV Catalog, CISA juga meminta tim keamanan untuk meningkatkan pemantauan terhadap server yang terdampak dan mencari indikasi eksploitasi.
Administrator diminta memasang security update terbaru dari Microsoft, memverifikasi bahwa patch telah berhasil diterapkan, serta memperpendek siklus patching untuk sistem yang memiliki risiko tinggi.
SharePoint yang Terhubung ke Internet Menjadi Target Utama
Risiko CVE-2026-45659 semakin besar karena masih terdapat ribuan server Microsoft SharePoint yang dapat diakses langsung dari internet.
Pemantauan infrastruktur internet menunjukkan lebih dari 8.500 server SharePoint masih terekspos secara online. Dari jumlah tersebut, lebih dari 200 server teridentifikasi belum terlindungi dari CVE-2026-45659.
Server yang dapat diakses dari internet memberikan permukaan serangan yang lebih luas. Ketika sebuah kerentanan remote code execution telah diketahui dan exploit tersedia, sistem yang belum diperbarui dapat menjadi target otomatis dalam proses scanning maupun eksploitasi massal.
Bagi organisasi yang menjalankan SharePoint sebagai bagian dari infrastruktur internal, memastikan server tidak terekspos secara tidak perlu menjadi salah satu langkah penting untuk mengurangi risiko.
Kini Resmi Dikaitkan dengan Serangan Ransomware
Sebelumnya, Microsoft belum memperbarui advisory CVE-2026-45659 untuk menyatakan bahwa kerentanan tersebut telah dieksploitasi dalam serangan aktif.
Namun, CISA kini telah menambahkan penanda bahwa kerentanan tersebut diketahui digunakan dalam ransomware campaigns.
Perubahan ini menunjukkan peningkatan tingkat ancaman terhadap organisasi yang masih menjalankan SharePoint versi rentan. Kerentanan yang awalnya diketahui aktif dieksploitasi kini telah dikaitkan secara langsung dengan aktivitas kelompok ransomware.
Sejak November 2021, CISA telah memasukkan 14 kerentanan Microsoft SharePoint ke dalam katalog sebagai vulnerability yang aktif dieksploitasi. Delapan di antaranya diketahui juga telah dimanfaatkan dalam serangan ransomware.
CISA Rekomendasikan AMSI dan Microsoft Defender
Selain melakukan patching, CISA merekomendasikan organisasi mengaktifkan integrasi Windows Antimalware Scan Interface (AMSI) untuk aplikasi web SharePoint.
AMSI dapat membantu mendeteksi aktivitas berbahaya yang terjadi melalui aplikasi dan memberikan lapisan pemeriksaan tambahan terhadap serangan yang berhasil mencapai server.
Organisasi juga disarankan menggunakan Microsoft Defender Antivirus untuk mendeteksi serta melakukan remediation apabila terdapat indikasi kompromi.
Langkah tersebut penting karena patching saja tidak selalu cukup apabila server sebelumnya telah berhasil disusupi. Administrator perlu memastikan bahwa sistem yang diperbarui tidak masih menyimpan persistence mechanism atau komponen berbahaya yang ditanamkan penyerang sebelum patch diterapkan.
Tren Serangan terhadap Produk Microsoft Terus Berlanjut
Eksploitasi terhadap SharePoint bukan satu-satunya kasus terbaru ketika kelompok ransomware memanfaatkan kerentanan produk Microsoft.
Pada Juni 2026, CISA juga mengonfirmasi bahwa kelompok ransomware mulai mengeksploitasi kerentanan privilege escalation pada Microsoft Defender yang dikenal dengan sebutan BlueHammer.
Kerentanan tersebut tercatat sebagai CVE-2026-33825 dan sebelumnya telah muncul sebagai zero-day setelah seorang peneliti keamanan yang menggunakan nama “Nightmare Eclipse” membocorkan exploit proof-of-concept pada April 2026.
Eksploitasi BlueHammer dapat digunakan untuk memperoleh akses terhadap Security Account Manager (SAM), database Windows yang menyimpan password hashes untuk akun lokal.
Menariknya, Microsoft juga belum secara independen mengonfirmasi eksploitasi CVE-2026-33825 di dunia nyata, sama seperti yang terjadi pada CVE-2026-45659.
Administrator SharePoint Perlu Segera Memeriksa Server
Dengan adanya konfirmasi bahwa CVE-2026-45659 telah digunakan dalam serangan ransomware, organisasi yang masih menjalankan SharePoint versi terdampak perlu memprioritaskan pemeriksaan dan patching.
Administrator sebaiknya memastikan security update Microsoft telah terpasang dengan benar, terutama pada server yang dapat diakses melalui internet. Log dan telemetry SharePoint juga perlu diperiksa untuk mencari aktivitas mencurigakan yang mungkin menunjukkan adanya eksploitasi sebelum patch diterapkan.
Jika server menunjukkan tanda-tanda kompromi, proses pemulihan sebaiknya tidak hanya berfokus pada pemasangan patch. Organisasi juga perlu melakukan pemeriksaan terhadap kemungkinan persistence, perubahan konfigurasi, akun mencurigakan, serta aktivitas lateral movement di jaringan.
Bagi perusahaan yang tidak membutuhkan akses SharePoint langsung dari internet, pembatasan akses melalui firewall, VPN, atau mekanisme network segmentation dapat membantu mengurangi attack surface.
CVE-2026-45659 menunjukkan bagaimana kerentanan pada aplikasi enterprise yang terekspos internet dapat berkembang menjadi ancaman ransomware. Begitu sebuah vulnerability mulai digunakan oleh kelompok ransomware, keterlambatan patching dapat memberikan penyerang kesempatan untuk mendapatkan foothold sebelum organisasi sempat melakukan mitigasi.
Sumber: CISA
