Для кого эта статья: организации, которые запускают Microsoft SharePoint Server на своих серверах (Subscription Edition, 2019 или 2016), и партнеры, которые их обслуживают. SharePoint Online в Microsoft 365 в бюллетене не указан. Эта страница основана на руководстве Microsoft по обновлениям безопасности, NVD и каталоге KEV CISA; в ней нет шагов атаки или кода эксплойта.
Развивается: страница будет обновляться по мере публикации новых сведений
- Кого это касается
организации, которые запускают Microsoft SharePoint Server на своих серверах (Subscription Edition, 2019 или 2016), и партнеры, которые их обслуживают. SharePoint Online в Microsoft 365 в бюллетене не указан. Эта страница основана на руководстве Microsoft по обновлениям безопасности, NVD и каталоге KEV CISA; в ней нет шагов атаки или кода эксплойта.
- ПодтвержденоСмотреть таблицу ↓
- Затронутые продукты и исправленные сборки
- Нужен ли вход
- Атаки на практике
Названо как возможно затронутое
- Попытки без входа через анонимный просмотр
- Пока не подтверждено
- Сколько серверов атаковано или скомпрометировано
- Номер CVE отдельной проблемы, исправленной в июне 2026 года, и связывает ли их Microsoft
- Что делали злоумышленники после выполнения кода на серверах
- Что сделать сейчасСмотреть шаги ↓
- Проверьте сборку на каждом сервере фермы
- Установите все пакеты обновлений для своей версии
- Убедитесь, что обновления июня 2026 года тоже установлены
Ещё 2
- Пересмотрите анонимный доступ
- Проверьте серверы, отстававшие с обновлениями
- Где проверить (источник)Все источники ↓
- Microsoft, Security Update Guide: CVE-2026-65660, Microsoft SharePoint Server Remote Code Execution Vulnerability (11 августа 2026 года; редакция 1.2, 25 сентября)
- Последняя проверка
- По состоянию на 31 октября 2026 года (JST)
Планы обновлений и что мы проверили
Бюллетень Microsoft (редакция 1.2, 25 сентября) и запись KEV опубликованы. 31 октября мы проверили руководство Microsoft по обновлениям безопасности, NVD и ленту KEV CISA (версия 2026.10.30).
Что делать сегодня
Проверьте сборку на каждом сервере фермы
В центре администрирования SharePoint или с помощью PowerShell на каждом сервере посмотрите установленную сборку и сравните ее с исправленной сборкой для своей версии: Subscription Edition 16.0.19725.20522, 2019 16.0.10417.20198, 2016 16.0.5565.1001. Проверьте все серверы фермы, включая серверы поиска и приложений.
Установите все пакеты обновлений для своей версии
Subscription Edition: KB5002893. SharePoint Server 2019: KB5002894 и KB5002896. SharePoint Enterprise Server 2016: KB5002905 и KB5002906. В FAQ Microsoft сказано применить все обновления, предлагаемые для установленного программного обеспечения. После установки запустите на каждом сервере мастер настройки продуктов SharePoint (или PSConfig), чтобы завершить обновление.
Убедитесь, что обновления июня 2026 года тоже установлены
По данным компании по безопасности, попытки атак сочетали эту уязвимость с отдельной проблемой, которая, по словам одной исследовательской группы, была исправлена 9 июня 2026 года. Убедитесь, что установлены обновления SharePoint за июнь 2026 года, а не только за август.
Пересмотрите анонимный доступ
Попытки, описанные компанией по безопасности, зависят от сайтов, разрешающих анонимный просмотр. Составьте список веб-приложений и сайтов с включенным анонимным доступом и отключите его там, где он не нужен. Не открывайте SharePoint в интернет, если он не обязан быть публичным, и по возможности разместите его за шлюзом, требующим входа.
Проверьте серверы, отстававшие с обновлениями
В KEV эта CVE отмечена для требований CISA по криминалистической сортировке (forensic triage). В общих чертах (наше предложение): ищите новые файлы .aspx или .dll в веб-папках SharePoint, которые ваша команда не развертывала, неожиданные процессы, запущенные рабочим процессом IIS, и необычные POST-запросы в журналах IIS с незнакомых адресов. Если найдете что-то необъяснимое, изолируйте сервер, подключите группу реагирования на инциденты и смените учетные данные и ключи, хранящиеся на сервере, прежде чем подключать его снова.
Что было раскрыто
- Продукт
- Microsoft SharePoint Server Subscription Edition, SharePoint Server 2019, SharePoint Enterprise Server 2016 (локальные)
- Тип
- Внедрение кода (CWE-94)
- Аутентификация
- Требуется: доступ низкого уровня. Участие пользователя не нужно (Microsoft)
- Серьезность
- CVSS v3.1 8,8; оценка Microsoft — Important (важная)
- Исправленные сборки
- Subscription Edition 16.0.19725.20522 (KB5002893); 2019 16.0.10417.20198 (KB5002894, KB5002896); 2016 16.0.5565.1001 (KB5002905, KB5002906)
- Выпущено
- 11 августа 2026 года (ежемесячные обновления безопасности)
- Эксплуатация
- «Надежные доказательства наблюдаемых атак» на 25 сентября 2026 года (Microsoft)
- KEV
- Добавлено 25 сентября 2026 года; срок — 28 сентября. Отмечено для требований CISA по криминалистической сортировке (forensic triage)
1. Проверить сборки
Каждый сервер фермы
2. Установить все пакеты
KB за август и обновления за июнь
3. Пересмотреть и проверить
Анонимный доступ; признаки компрометации
Хронология
9 июня 2026 года
Исследовательская группа по безопасности сообщает, что в этот день была исправлена отдельная проблема SharePoint, позволяющая анонимно доставлять запросы (номер CVE в ее разборе не указан).11 августа
Microsoft публикует CVE-2026-65660 и обновления безопасности, сначала описывая ее как уязвимость подмены.27 августа
Microsoft меняет заголовок, последствия и FAQ на удаленное выполнение кода (редакция 1.1, описана как информационная).24 сентября
Компания по безопасности сообщает о попытках атак на ловушку, сочетающих эту уязвимость с отдельной проблемой анонимной доставки.25 сентября
Microsoft добавляет, что имеет надежные доказательства наблюдаемых атак (редакция 1.2). CISA добавляет CVE в каталог KEV со сроком 28 сентября.31 октября
Новых редакций бюллетеня Microsoft нет.
Что известно и что нет
| Пункт | Что говорят источники | Статус |
|---|---|---|
| Затронутые продукты и исправленные сборки | Три локальные версии; обновления от 11 августа | Подтверждено (Microsoft) |
| Нужен ли вход | Доступ низкого уровня, без участия пользователя | Подтверждено (Microsoft) |
| Атаки на практике | Надежные доказательства наблюдаемых атак (25 сентября) | Подтверждено (эксплуатация, по данным Microsoft) |
| Попытки без входа через анонимный просмотр | Попытки на ловушке в сочетании с отдельной проблемой | Возможно |
| Номер CVE июньской проблемы | В проверенных источниках не указан | Не указано |
| Число скомпрометированных серверов | Не опубликовано | Не указано |
| SharePoint Online | Не указан в бюллетене Microsoft | Не указано |
31 октября в данных бюллетеня Microsoft в поле сводки по-прежнему значилось «Exploited: No», тогда как в примечании к редакции от 25 сентября сказано, что атаки наблюдались. Примечание к редакции — более позднее заявление, и CISA числит эту CVE как эксплуатируемую.
Почему первая метка имела значение
Когда 11 августа вышло обновление, бюллетень называл это уязвимостью подмены. Удаленным выполнением кода она стала лишь 27 августа, в редакции, которую Microsoft пометила как информационную; Microsoft не сочла редакцию 1.1 требующей уведомления. Команды, сортировавшие августовские обновления по последствиям, могли запланировать ее позже других исправлений.
Урок для любой фермы SharePoint — устанавливать ежемесячные обновления SharePoint целиком, а не выбирать по метке каждой CVE. Метки могут меняться после выпуска, а уязвимость, требующую входа, можно объединить с другой, которая это требование снимает.
Источники
Проверено 31 октября 2026 года (JST).
- Microsoft, Security Update Guide: CVE-2026-65660, Microsoft SharePoint Server Remote Code Execution Vulnerability (11 августа 2026 года; редакция 1.2, 25 сентября) — msrc.microsoft.com
- NVD, CVE-2026-65660 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog (добавлено 25 сентября 2026 года) — cisa.gov
- Сообщение компании по безопасности о попытках атак (24 сентября 2026 года; обновлено 25 сентября) — blog.previdian.com
История обновлений
2026-10-31: Первая версия, основанная на руководстве Microsoft по обновлениям безопасности, NVD, каталоге KEV CISA и сообщении компании по безопасности.
Читайте далее
- Эксплуатировались в тот же период: Эксплуатируемые уязвимости периферийных устройств, середина октября 2026
- Приоритизация исправлений: Какую CVE закрывать первой (CVSS, EPSS, KEV)
- Проверка на компрометацию: Как проверить, не взломан ли сервер
- Порядок действий: Практика реагирования на уязвимости
- Термины: Что такое удаленное выполнение кода (RCE)? / Что такое CVSS?