Čo sa stalo

Microsoft oznámil, že má spoľahlivé dôkazy o útokoch využívajúcich zraniteľnosť CVE-2026-65660 v SharePoint Serveri. Informácia je dôležitá aj preto, že oprava vyšla už v auguste: novinkou teda nie je neznáma chyba bez záplaty, ale potvrdenie, že útočníci zraniteľnosť skutočne skúšajú zneužiť. Microsoft neuviedol počet napadnutých organizácií ani podrobnosti o konkrétnych útokoch. Zdroj: Bezpečnostné upozornenie Microsoftu

CVE-2026-65660 sa týka lokálne prevádzkovaného SharePoint Servera. Podľa Microsoftu môže útočník s nízkymi oprávneniami, ktorý už má prístup k serveru, poslať cez sieť požiadavku vedúcu k spusteniu kódu. To je vážne, pretože SharePoint často uchováva interné dokumenty a prepája sa s ďalšími firemnými systémami. Samotné potvrdenie zneužívania však neznamená, že každá organizácia so SharePointom bola napadnutá; rozhoduje konkrétna verzia, oprava a dostupnosť servera. Podrobnosti: Analýza SecurityWeek

Prečo sa o tom hovorí až teraz

Microsoft opravu zahrnul do augustových aktualizácií SharePoint Servera. Neskoršie technické podrobnosti a nové informácie o útokoch zmenili spôsob, akým treba chybu vyhodnocovať. Správy upozorňujú, že jej dopad zahŕňa spustenie kódu, preto je užitočné overiť aktuálny záznam CVE aj skutočne nainštalované kumulatívne aktualizácie, nielen staršie interné hodnotenie rizika. Zdroj: Aktuálne spracovanie opravy a zmeny hodnotenia

Nejde o útok na všetky weby, ktoré používajú SharePoint Online v Microsoft 365. Správy opisujú zraniteľnosť serverového produktu spravovaného samotnou organizáciou; preto prvou otázkou pre firmu je, či taký server vôbec prevádzkuje. Ak používa iba cloudovú službu, správy o tejto chybe samy osebe nedokazujú, že jej prostredie je zraniteľné. Ak má vlastný SharePoint Server, treba zistiť jeho verziu, vystavenie internetu a stav aktualizácií. Prehľad: Čo sa zmenilo v hlásení o aktívnom zneužívaní

Čo to znamená pre firmy

SharePoint býva súčasťou procesov, ktoré presahujú samotné zdieľanie súborov: tímy v ňom vedú dokumentáciu, projektové materiály či interné portály. Pri kompromitovanom serveri preto môže byť následkom viac než výpadok jednej stránky. Zraniteľnosť umožňujúca spúšťať kód môže vytvoriť ďalšiu cestu k systému, no dostupné správy zatiaľ neuvádzajú potvrdený rozsah odcudzených údajov ani opis toho, čo útočníci v jednotlivých prípadoch urobili. Je dôležité oddeliť potvrdené zneužívanie od neoverených tvrdení o následkoch. Zdroj: Súhrn aktuálneho vývoja

Ak organizácia prevádzkuje lokálny SharePoint, rozhodujúce je rýchlo overiť stav a vedieť vysvetliť, čo sa stalo. Samotná inštalácia opravy znižuje riziko ďalšieho zneužitia, ale nenahrádza kontrolu už prebehnutej aktivity. Nasledujúce tri kroky sú praktickým návrhom pre správcu a bezpečnostný tím, nie tvrdením, že ich Microsoft vyžaduje v tejto podobe.

  1. Zistite, či máte dotknutý produkt. Skontrolujte inventár serverov, vydanie SharePointu, jeho build a to, či je dostupný z internetu.
  2. Overte opravu na každom serveri. Porovnajte nainštalované aktualizácie s príslušným augustovým balíkom a zdokumentujte prípadné servery, ktoré ešte čakajú na údržbu.
  3. Skontrolujte, či pred opravou nedošlo k podozrivej aktivite. Preverte prihlásenia, webové a systémové logy, nezvyčajné procesy a zmeny súborov; pri náleze zachovajte dôkazy a spustite interný postup reakcie na incident.

Kľúčové je spojiť inventár, správu opráv a kontrolu udalostí do jedného rozhodnutia: ktoré servery sú vystavené, ktoré sú opravené a ktoré si vyžadujú ďalšie preverenie. Tak firma získa konkrétny obraz o vlastnom riziku namiesto toho, aby reagovala iba na titulok.

Zdroje

Informácie overené 27. septembra 2026.