SharePoint RCE Zero-Day: Perché Quel Buco nel

AGGANCIO

Venerdì pomeriggio, ore 17:30. Il tuo IT ti scrive su WhatsApp: "Abbiamo un problema."

Apri il messaggio e leggi che hanno trovato attività sospette sul server SharePoint. Qualcuno ha caricato file strani, creato utenti che non dovrebbero esistere, forse eseguito comandi. Non sai ancora quanto è grave, ma sai che il weekend è appena diventato interessante.

Questa situazione, che sembra uscita da un film di hacker, è esattamente quella che CISA (l'agenzia americana per la cybersecurity) ha descritto giovedì scorso quando ha aggiornato il suo catalogo KEV (Known Exploited Vulnerabilities). Una falla in Microsoft SharePoint Server, la CVE-2026-58644, è stata inserita nella lista nera. Significa che qualcuno la sta già usando contro le aziende. Non è una possibilità teorica. È un problema reale che sta succedendo adesso.

---

MA COSA STA SUCCEDENDO DAVVERO?

Cerco di spiegartelo con un'analogia che funziona sempre: il tuo server SharePoint è come un ufficio con una porta blindata. Tutti i dipendenti entrano ed escono, caricano documenti, collaborano sui progetti. La porta blindata (il sistema di sicurezza) dovrebbe fermare chiunque non abbia il diritto di entrare.

Bene, questa falla è come scoprire che c'è una finestra socchiusa sul retro dell'ufficio. Una finestra che nessuno aveva notato. E qualcuno l'ha trovata.

La CVE-2026-58644 è una RCE, Remote Code Execution. In italiano significa che un attaccante può eseguire comandi sul tuo server senza avere credenziali valide. Non deve indovinare password. Non deve convincere un dipendente a cliccare su un link. Trova la finestra, entra, e può fare quello che vuole: leggere tutti i documenti, caricare malware, creare backdoor, usare il tuo server per attaccare altri.

CISA non aggiunge vulnerabilità al KEV per capriccio. Lo fa solo quando ci sono prove concrete che la falla viene sfruttata attivamente. Questo significa che là fuori, in questo momento, ci sono aziende che hanno già subito intrusioni attraverso questa falla. E la cosa inquietante è che Microsoft ha già rilasciato la patch, ma non tutte le aziende l'hanno applicata.

---

PERCHÉ TI RIGUARDA

So cosa stai pensando: "Ma io non uso SharePoint Server, uso Office 365."

Sei fortunato, ma solo in parte. SharePoint Server è la versione on-premise che molte aziende usano internamente. Se la tua PMI ha un server Windows con SharePoint installato (spesso insieme a Exchange Server per la posta), questa falla ti riguarda direttamente.

In Italia, SharePoint è diffusissimo negli studi professionali, nelle aziende manifatturiere, negli enti pubblici. È il posto dove archiviate i contratti, i documenti fiscali, le relazioni con i clienti. È il cuore documentale della tua azienda.

Pensa a cosa succede se un attaccante entra nel tuo SharePoint:

• Trova tutti i documenti riservati: contratti, fatture, dati dei clienti
• Può modificare i file per inserire malware che verrà scaricato dai tuoi colleghi
• Può usare il tuo server come base per attaccare altri sistemi
• Può installare un ransomware che cripta tutto e ti chiede un riscatto

Il danno economico? Facile da calcolare. Un attacco ransomware in Italia nel 2026 costa in media alle PMI tra i 50.000 e i 200.000 euro, considerando downtime, ripristino, perdita di dati e danni reputazionali. Per uno studio professionale, potrebbe significare perdere mesi di lavoro.

E non parliamo solo di soldi. Se perdi i dati dei tuoi clienti (cosa che succede regolarmente in questi attacchi), hai problemi GDPR. Multe, cause, reputazione distrutta. Il pacchetto completo.

---

COSA PUOI FARE (SENZA IMPAZZIRE)

Ora, respira. Non serve correre a chiamare il tuo IT a mezzanotte. Ma serve fare alcune cose, nell'ordine giusto.

1. Verifica che versione di SharePoint usi e se è patchata

Apri il pannello di amministrazione SharePoint o chiedi al tuo IT. La patch per questa falla è stata rilasciata da Microsoft. Se il tuo server non è aggiornato, è come lasciare quella finestra aperta. Il tuo IT dovrebbe sapere come verificare le patch installate. In SharePoint Server, di solito si trova in Central Administration > System Settings > Manage patches.

2. Se non puoi patchare subito, segmenta la rete

So che non tutte le aziende possono aggiornare il server in 24 ore. A volte ci sono dipendenze, vecchi software, sistemi critici che non possono essere riavviati. Capisco. Ma se devi aspettare, almeno limita i danni. Metti il server SharePoint in una rete separata, con regole firewall strict. Se qualcuno entra, non può automaticamente raggiungere tutti gli altri server. È come avere una porta chiusa tra i reparti quando l'ufficio è sotto attacco.

3. Controlla i log per attività sospette

Questo è il passo che molti saltano. I log di SharePoint (e di IIS, il web server sottostante) registrano ogni accesso, ogni file caricato, ogni comando eseguito. Se non sai dove guardare, chiedi al tuo IT di cercare:

• Accessi da IP strani, especially da paesi che non hai relazioni commerciali con
• File caricati con nomi sospetti (tipo script.bat, payload.exe)
• Utenti creati che non conosci
• Chiamate API anomale

Se trovi qualcosa di strano, meglio indagare subito che scoprirlo tra tre mesi quando ormai è troppo tardi.

4. Attiva il monitoraggio sulle modifiche ai file

Un ransomware o un attaccante che ha accesso RCE spesso inizia a modificare file, caricare nuovi payload, o cambiare configurazioni. Se hai un sistema che ti avvisa quando qualcuno modifica file SharePoint in modo anomalo, puoi beccarlo prima che faccia danni. Anche strumenti semplici come Windows Event Viewer possono aiutare, se configurati bene.

5. Se hai già subito un attacco, non toccare tutto subito

So che l'istinto è cancellare tutto e ricominciare. Ma se il server è stato compromesso con un RCE, l'attaccante potrebbe aver lasciato una backdoor. Se cancelli e basta, potrebbe tornare. Meglio chiamare un esperto di incident response che analizzi cosa è successo prima di ripulire. So che costa, ma è meglio che ritrovarsi nella stessa situazione tra due settimane.

---

IL CONSIGLIO DELL'AMICO

Senti, non voglio spaventarti. Le vulnerabilità SharePoint vengono patchate regolarmente e la maggior parte delle aziende sopravvive senza problemi. Ma questa falla è nel KEV, il che significa che qualcuno là fuori la sta cercando attivamente.

Il mio consiglio pratico? Parla con il tuo IT lunedì mattina. Chiedigli se il server SharePoint è aggiornato. Se non lo è, chiedigli quando può applicare la patch. Non deve essere oggi, ma deve avere una data.

E se non hai un IT dedicato? Considera di usare un servizio gestito che si occupi di queste cose per te. È come avere un meccanico che controlla l'olio ogni mese invece di accorgerti che il motore è in fiamme quando ormai è troppo tardi.

La cybersecurity non è mai al 100%. Ma con un po' di attenzione e le giuste priorità, puoi dormire sonni tranquilli. Almeno per questa settimana.

---

PS: Se vuoi capire come proteggere la tua posta aziendale (che spesso è il primo vettore di attacco), dai un'occhiata a come funziona la protezione email o esplora il blog per altre situazioni simili. Il problema SharePoint è grave, ma non è l'unica porta d'ingresso che devi tenere d'occhio.