Gli Exploit SharePoint sono in corso: aziende e enti nel mirino
Il panorama delle minacce non dorme mai, ma stavolta si è svegliato con il botto. Il 18 luglio 2025, l’azienda di sicurezza Eye Security ha lanciato un allarme che ha subito trovato eco nel mondo cyber: è in corso una campagna massiva di exploit contro i server SharePoint on-premises, usando una nuova catena di vulnerabilità battezzata ToolShell, fondata su due CVE freschi freschi di catalogo: CVE-2025-53770 e CVE-2025-53771
L’attacco è tutt’altro che teorico: ha già colpito università, aziende energetiche, migliaia di PMI e, secondo il Washington Post, almeno due agenzie federali USA. Si tratta di una catena RCE (Remote Code Execution) non autenticata, che sfrutta versioni esposte pubblicamente di SharePoint e, cosa ancor più grave, è in grado di bypassare le patch precedenti legate a exploit mostrati al Pwn2Own Berlin 2025.
Non è un semplice bypass: è una seconda ondata
I due nuovi CVE, in realtà, sono evoluzioni mutanti di una precedente catena di exploit: CVE-2025-49704 e CVE-2025-49706. In quella circostanza, l’exploit partiva da un bypass dell’autenticazione per arrivare a un’esecuzione remota di codice. Microsoft intervenne con una patch… che però si è rivelata un cerotto su una ferita ancora infetta.
CVE-2025-53770 reintroduce la falla di deserializzazione che consente la RCE, mentre CVE-2025-53771 ripristina l’autenticazione bypassata. In pratica, ToolShell è un replay migliorato del vecchio attacco, con una nuova verniciata e una maggiore efficacia.
A peggiorare il quadro: le installazioni vulnerabili non sono poche. Shodan ne conta oltre 16.000 esposte pubblicamente, principalmente negli Stati Uniti, seguite da Iran, Malesia, Olanda e Irlanda. E molti server, come spesso accade, continuano a esporre dettagli di versione negli header HTTP, offrendo ai threat actor esattamente ciò di cui hanno bisogno per colpire chirurgicamente.
Cosa ottiene un attaccante?
Una volta compromesso, ToolShell permette di estrarre le chiavi crittografiche di SharePoint (ValidationKey e DecryptionKey), consentendo l’accesso persistente al sistema anche dopo l’applicazione delle patch. Come se non bastasse, la natura centralizzata di SharePoint, spesso integrato con Outlook, Teams, OneDrive e Active Directory — apre la porta a un’esfiltrazione dati su larga scala e alla compromissione di intere infrastrutture collaborative aziendali.
È un attacco silenzioso e profondo, come il morso di un serpente velenoso: dopo l’iniziale RCE, vengono installate web shell persistenti, raccolte credenziali, e se possibile, effettuata lateralizzazione all’interno della rete.
Cosa dice l’analisi tecnica?
Secondo il sandbox report associato al sample [SHA256: 1116231836ce7c8c64dd86027b458c3bf0ef176022beadfa01ba29591990aee6], l’exploit esegue un file ASP (“spinstall0.asp”) che è responsabile del drop della webshell. Il comportamento osservato include l’enumerazione dei dispositivi fisici di storage e l’invocazione di comandi via cmd.exe, confermando le capacità di persistence e reconnaissance.
Il report MITRE ATT&CK allega la catena a ben 14 tattiche tra cui Initial Access, Execution, Privilege Escalation, Credential Access e Command and Control, una vera sinfonia dell’intrusione avanzata.
Il vantaggio (ormai evidente) del cloud
Mentre SharePoint on-prem diventa bersaglio preferito dei threat actor, la versione cloud SharePoint Online resta immune. Il perché è chiaro: patching centralizzato, threat hunting automatico, controllo continuo e minore esposizione. La differenza tra on-prem e SaaS in termini di sicurezza non è mai stata così visibile.
Come a dire: chi ha scelto il cloud ha preso l’ombrello prima della tempesta.
Microsoft e Recorded Future: corsa alla contromisura
Microsoft ha rilasciato aggiornamenti d’emergenza nel patch Tuesday di luglio e ha pubblicato specifiche raccomandazioni: applicare le patch (se disponibili), abilitare l’AMSI, usare Defender, e, dettaglio importantissimo, ruotare le chiavi ASP.NET per spezzare la persistenza post-exploit. Tuttavia, SharePoint Server 2016 resta ancora senza una patch ufficiale al momento in cui scriviamo. Un incubo per chi non può migrare.
Parallelamente, Recorded Future ha creato un Nuclei template per rilevare CVE-2025-53770, utile per attività di threat hunting automatizzate. Il template sfrutta un endpoint /vti_pvt/service.cnf e analizza la build SharePoint esposta per rilevare versioni vulnerabili.
Un ulteriore elemento critico è che esiste già un proof-of-concept pubblicato su GitHub, cosa che ha sicuramente accelerato l’adozione dello sfruttamento da parte degli attori malevoli.
Considerazioni finali
La vicenda ToolShell mette a nudo (di nuovo) il ritardo strutturale nella gestione dei sistemi on-premises, specie in aziende e PA con infrastrutture legacy, dove il patching non è né rapido né costante. Ma va anche oltre: ci sbatte in faccia la cruda realtà di una gestione superficiale della superficie di esposizione e della visibilità interna.
Chi gestisce infrastrutture SharePoint esposte dovrebbe agire immediatamente: patch dove disponibili, isolamento dei sistemi vulnerabili, controllo dei log, ricerca di webshell, e soprattutto, un riesame strategico delle scelte infrastrutturali. È il momento di smettere di trattare la sicurezza come una check-list e cominciare a considerarla un processo vivo, continuo, e, se serve, doloroso.
Chi resta fermo in questo momento… sta già arretrando.
L'articolo Gli Exploit SharePoint sono in corso: aziende e enti nel mirino proviene da il blog della sicurezza informatica.
