Exploateringsbeskedet ändrar prioriteringen

CISA lade den 25 september 2026 till CVE-2026-65660 i Known Exploited Vulnerabilities, KEV. Sårbarheten i SharePoint Server korrigerades redan i augusti. Den nya praktiska informationen är att angrepp har bekräftats, vilket gör en kvarvarande patchskuld till ett akut ärende för drift och incidenthantering.

Kanadas cybersäkerhetscentrum publicerade redan den 24 september varningen AL26-023 om aktiv exploatering. Det är det tidigaste offentliga myndighetsbesked som verifierats i denna genomgång. När angreppen faktiskt började, deras omfattning och vilka organisationer som drabbats är inte fastställt här. KEV anger okänd användning i ransomwarekampanjer; det betyder att uppgiften saknas, inte att sådan användning kan uteslutas.

LabOps IT klassar åtgärdsprioriteten som Akut för berörda installationer. Börja med att fastställa exponering och faktiskt uppdateringstillstånd. Samordna sedan patchning med incidentbedömning, särskilt för servrar som varit nåbara från internet eller av konton som kan ha komprometterats.

Vad sårbarheten tillåter

Microsofts aktuella CVE-post beskriver kodinjektion, CWE-94, som låter en autentiserad angripare köra kod över nätverket. Den officiella CVSS 3.1-baspoängen är 8,8, High. Vektorn anger låg angreppskomplexitet, låga behörigheter och inget krav på användarinteraktion. Detta är CVSS-klassningen i Microsofts CVE-data; LabOps IT:s Akut är en separat praktisk prioritering.

Bristerna i åtkomstkontroll och programkod måste bedömas tillsammans. Kanadas varning beskriver att felet kan kombineras med andra SharePoint-sårbarheter till kodkörning före autentisering på installationer som tillåter anonym åtkomst. Det innebär inte att CVE-2026-65660 ensam generellt är oautentiserad RCE. Inventeringen behöver därför också omfatta tidigare säkerhetsuppdateringar och anonym åtkomst.

En fungerande offentlig PoC har inte självständigt verifierats i denna genomgång. De primära källorna räcker däremot för att bekräfta aktiv exploatering. Vänta därför inte på ett reproducerbart demonstrationsprogram innan ni bedömer och åtgärdar exponeringen.

Riskflödet skiljs från åtgärdsflödet. Uppdateringen omfattar både farmservrar och konfiguration; intrångsbedömningen behöver följas upp separat.

Berörda versioner och tillgängliga uppdateringar

Microsofts CVE-post, ursprungligen publicerad den 11 augusti och senast uppdaterad den 26 september, anger dessa gränser för berörda x64-produkter:

  • SharePoint Enterprise Server 2016: versioner före 16.0.5565.1001.
  • SharePoint Server 2019: versioner före 16.0.10417.20198.
  • SharePoint Server Subscription Edition: versioner före 16.0.19725.20522.

För Subscription Edition innehåller KB5002893 från den 11 augusti korrigeringen, med paketbuild 16.0.19725.20522. Vid kontroll den 27 september listar Microsoft dessutom KB5002908 från den 8 september, build 16.0.20326.20136. Septemberpaketet ersätter uttryckligen KB5002893. Microsofts uppdateringshistorik beskriver uppdateringarna som kumulativa: den senare uppdateringen innehåller tidigare säkerhetskorrigeringar. Välj ett aktuellt, kompatibelt paket genom ordinarie leverantörskanal.

För Server 2019 listar augustiuppdateringen KB5002894, build 16.0.10417.20198. För Server 2016 hänvisar Microsofts uppdateringshistorik till KB5002905 och språkpaketet KB5002906 på nivån 16.0.5565.1001. KB5002905:s beskrivning anger samtidigt ett avvikande paketbuildnummer, 16.0.5561.1001. Den skillnaden behöver verifieras mot installerade filer och leverantörens support innan ett versionsnummer används som ensamt godkännandekriterium.

Kanadas varning påminner om att Server 2016 och 2019 har passerat ordinarie supportslut i juli 2026. Tillgängliga korrigeringar för detta fel ska inte tolkas som ett generellt löfte om fortsatt support. LabOps IT rekommenderar att säkerhetsåtgärden kopplas till en namngiven migrationsplan för äldre farmar.

Förbered farmen och kontrollera beroenden

Microsofts augusti- och septemberbeskrivningar för Subscription Edition kräver att KB5002799 för SharePoint Workflow Manager installeras i farmen före den kumulativa uppdateringen när den komponenten används. Classic Workflow Manager har särskilda instruktioner i KB-artikeln. Identifiera vilken variant som faktiskt finns innan ni väljer arbetsordning.

Septemberpaketet kan också påverka befintliga funktioner. Augustibulletinen aviserar bland annat ändrat standardbeteende för ToolPane, SharePoint 2010 Workflow och ExecuteProxyUpdates från september. Inventera sådana beroenden och testa verksamhetens använda flöden. Återaktivera inte äldre funktioner rutinmässigt för att lösa ett testfel; låt tjänsteägaren bedöma behovet och säkerhetskonsekvensen.

LabOps IT rekommenderar ett kort ändringsunderlag med varje farmserver, roll, installerade paket och ansvarig. Lägg till beroenden till autentisering, lastbalansering, arbetsflöden och externa integrationer. Dokumentera också hur en misslyckad uppdatering hanteras. Ett godkänt paket på en server räcker inte som kontroll av hela farmen.

Installera och verifiera hela uppdateringsprocessen

Microsoft skiljer på installation av binärer och uppgradering av farmens konfiguration och databaser. Följ den dokumenterade proceduren för er topologi och kör SharePoint Products Configuration Wizard eller PSConfig enligt den proceduren. Verifiera uppdateringen på samtliga berörda servrar och granska uppgraderingsloggar innan ändringen godkänns.

Planera ett underhållsfönster. Microsofts installationsguide beskriver att webbplatser kan vara otillgängliga under konfigurations- och databasuppgraderingen. Lastbalansering och uppgraderingsstrategi påverkar hur avbrottet hanteras. Exakt avbrottslängd och omstartsbehov har inte verifierats för varje installation; reservera kapacitet och en kontrollerad återväg utan att lova avbrottsfri drift.

Vår rekommenderade slutkontroll är att prova inloggning, läsning och ändring av ett testdokument, sökning och verksamhetens viktigaste arbetsflöde. Kör kontrollerna genom den ordinarie åtkomstvägen och kontrollera att ingen äldre nod ligger kvar i lastbalanserarens rotation. Anteckna resultat, tid och ansvarig i ändringsärendet.

Om en kontroll misslyckas ska återgången till normal trafik vara ett uttryckligt beslut. Låt inte en lyckad paketinstallation dölja att konfigurationen fortfarande behöver uppgraderas eller att en viktig integration har slutat fungera. Håll incidentärendet öppet tills även den historiska exponeringen har bedömts.

Begränsa exponeringen och bevara spår

CISA:s KEV-post anger forensisk triage och den 28 september som åtgärdsdatum för den berörda federala tillämpningen. Det är ingen generell svensk tidsfrist, men ger ett tydligt mått på brådskan. LabOps IT rekommenderar att driftansvarig och incidentansvarig arbetar parallellt.

Bevara relevanta SharePoint-, IIS-, autentiserings- och säkerhetsloggar före förändringar som kan försvåra analysen. Dokumentera när varje nod blev exponerad och när korrigeringen blev verksam. Håll insamlat material åtkomligt för utredningen även om den undersökta servern behöver isoleras. Avsaknad av larm är inte ett verifierat besked om att intrång saknas.

Kanadas centrum rekommenderar minskad direkt internetexponering, begränsad administrationsåtkomst och granskning av bland annat oväntade web part-ändringar, misstänkt åtkomst till IIS machine keys, webshells och skadlig processexekvering. Dessa observationer måste tolkas i sammanhang; en avvikelse är underlag för analys, inte automatiskt bevis för just denna CVE.

Nätbegränsningar minskar angreppsytan men korrigerar inte programfelet. Testa åtkomstregler och dokumentera verksamhetspåverkan. Vid misstänkt intrång behövs en separat bedömning av återställning, betrodd konfiguration och berörda hemligheter. Patchning avlägsnar inte automatiskt en angripares kvarvarande åtkomst.

LabOps IT:s bedömning

Den avgörande förändringen är exploateringsbekräftelsen i september för ett fel som redan hade en augustikorrigering. Organisationer bör nu kunna visa när hela farmen blev korrigerad och hur tidigare exponering har bedömts. Ett ärende märkt ”augustipatch installerad” behöver kompletteras med verifierbara resultat från farmens samtliga noder.

Vår prioritering är omedelbar inventering, skyndsam riskreducering och en kontrollerad uppdatering med incidentkompetens tillgänglig. Det ger ett bättre beslutsunderlag för återgång till normal drift och för migration av äldre miljöer. Ansvarig tjänsteägare bör få både det verifierade tillståndet och de frågor som fortfarande saknar svar.

Källor