Уязвимость в SharePoint Server, которую компания Microsoft первоначально классифицировала как уязвимость, связанную со спуфингом, с оценкой CVSS 6,5, на самом деле позволяет удаленно выполнять код с правами авторизованного пользователя, как следует из полных технических сведений, опубликованных сегодня исследователем компании Viettel Cyber Security Динь Хо Ан Хоа.
Уязвимость CVE-2026-65660 затрагивает SharePoint Server 2016, 2019 и версию Subscription Edition. Исправления доступны с момента выпуска обновлений безопасности 11 августа, а Национальная база данных уязвимостей (National Vulnerability Database) присвоила ей оценку 8,8.
В рекомендациях Microsoft уязвимость CVE-2026-65660 описывается как позволяющая авторизованному злоумышленнику осуществлять подделку идентификационных данных, при этом не указывается никакого воздействия на целостность или доступность. В записи CVE, которую Microsoft публикует отдельно и которая была обновлена 11 сентября, эта же уязвимость названа уязвимостью, позволяющей удаленное выполнение кода, и указано, что она позволяет авторизованному злоумышленнику выполнять код.
В обеих записях уязвимости присвоен код CWE-94, обозначающий уязвимость, связанную с внедрением кода. Специалисты по безопасности, оценивавшие CVE-2026-65660 на основе рекомендаций, рассматривали её как уязвимость средней степени серьезности, связанную со спуфингом, а не как уязвимость, позволяющую выполнить код, с оценкой, близкой к максимальной.
Кхоа — это тот самый исследователь, который в мае 2025 года на конференции Pwn2Own Berlin продемонстрировал оригинальную цепочку эксплойтов ToolShell, направленную против SharePoint. Позже эта цепочка была использована китайскими группами, поддерживаемыми государством, что вынудило Microsoft выпустить экстренные исправления.
С тех пор исследователь раскрыл несколько других уязвимостей SharePoint, в том числе CVE-2026-55040 — обход аутентификации, который злоумышленники использовали вскоре после того, как подробности об этой уязвимости стали достоянием общественности в августе.
Последняя уязвимость CVE-2026-65660 связана с тем, как SharePoint проверяет, входят ли серверные элементы управления в список SafeControls — фильтр, предотвращающий загрузку опасных классов. Когда компонент ToolPane обрабатывает разметку веб-частей, он реконструирует директивы Register, записывая значения атрибутов в двойные кавычки без экранирования кавычек внутри них.
Злоумышленник может внедрить дополнительные директивы через неэкранированные кавычки, регистрируя произвольные классы .NET после выполнения проверки типов, но до загрузки элемента управления.
Имея возможность загружать произвольные классы, злоумышленник использует метод XamlServices.Parse() для запуска выполнения кода посредством десериализации. Как сообщил Khoa, в отчете приводится рабочий полезный груз веб-оболочки в памяти, который позволяет обойти проблемы с разрешениями реестра, с которыми сталкиваются другие методы десериализации.
Исследователь также продемонстрировал, что эту уязвимость можно комбинировать с отдельным, уже исправленным обходом аутентификации, чтобы добиться удалённого выполнения кода до аутентификации на серверах, настроенных на разрешение анонимного доступа к страницам. По словам Khoa, этот обход был исправлен в патче от 9 июня, и серверы, на которых установлено это исправление, не подвержены уязвимости, позволяющей выполнить код до аутентификации.
О случаях эксплуатации CVE-2026-65660 в реальной среде не сообщалось, и эта уязвимость отсутствует в каталоге CISA «Известные эксплуатируемые уязвимости». В рекомендациях Microsoft вероятность эксплуатации оценивается как маловероятная, хотя полный код эксплоита теперь находится в открытом доступе. Кхоа утверждает, что он использовал этот эксплоит при проведении тестов на проникновение.
По словам исследователя, исправление от 11 августа устраняет уязвимость и по умолчанию отключает уязвимую функцию.
Кхоа отмечает, что уязвимость затрагивает также SharePoint 2013, хотя в рекомендации Microsoft перечислены только версии 2016, 2019 и Subscription Edition. Поддержка SharePoint 2013 была прекращена в апреле 2023 года, и обновления безопасности для него больше не выпускаются.