Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Gli Exploit SharePoint sono in corso: aziende e enti nel mirino

Sandro Sana : 26 Luglio 2025 10:07

Il panorama delle minacce non dorme mai, ma stavolta si è svegliato con il botto. Il 18 luglio 2025, l’azienda di sicurezza Eye Security ha lanciato un allarme che ha subito trovato eco nel mondo cyber: è in corso una campagna massiva di exploit contro i server SharePoint on-premises, usando una nuova catena di vulnerabilità battezzata ToolShell, fondata su due CVE freschi freschi di catalogo: CVE-2025-53770 e CVE-2025-53771

L’attacco è tutt’altro che teorico: ha già colpito università, aziende energetiche, migliaia di PMI e, secondo il Washington Post, almeno due agenzie federali USA. Si tratta di una catena RCE (Remote Code Execution) non autenticata, che sfrutta versioni esposte pubblicamente di SharePoint e, cosa ancor più grave, è in grado di bypassare le patch precedenti legate a exploit mostrati al Pwn2Own Berlin 2025.

Non è un semplice bypass: è una seconda ondata

I due nuovi CVE, in realtà, sono evoluzioni mutanti di una precedente catena di exploit: CVE-2025-49704 e CVE-2025-49706. In quella circostanza, l’exploit partiva da un bypass dell’autenticazione per arrivare a un’esecuzione remota di codice. Microsoft intervenne con una patch… che però si è rivelata un cerotto su una ferita ancora infetta.

Sponsorizza la prossima Red Hot Cyber Conference!

Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference
Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. 
Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. 
Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.



Supporta RHC attraverso:
 

  1. L'acquisto del fumetto sul Cybersecurity Awareness
  2. Ascoltando i nostri Podcast
  3. Seguendo RHC su WhatsApp
  4. Seguendo RHC su Telegram
  5. Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.
 

CVE-2025-53770 reintroduce la falla di deserializzazione che consente la RCE, mentre CVE-2025-53771 ripristina l’autenticazione bypassata. In pratica, ToolShell è un replay migliorato del vecchio attacco, con una nuova verniciata e una maggiore efficacia.

A peggiorare il quadro: le installazioni vulnerabili non sono poche. Shodan ne conta oltre 16.000 esposte pubblicamente, principalmente negli Stati Uniti, seguite da Iran, Malesia, Olanda e Irlanda. E molti server, come spesso accade, continuano a esporre dettagli di versione negli header HTTP, offrendo ai threat actor esattamente ciò di cui hanno bisogno per colpire chirurgicamente.

Cosa ottiene un attaccante?

Una volta compromesso, ToolShell permette di estrarre le chiavi crittografiche di SharePoint (ValidationKey e DecryptionKey), consentendo l’accesso persistente al sistema anche dopo l’applicazione delle patch. Come se non bastasse, la natura centralizzata di SharePoint, spesso integrato con Outlook, Teams, OneDrive e Active Directory — apre la porta a un’esfiltrazione dati su larga scala e alla compromissione di intere infrastrutture collaborative aziendali.

È un attacco silenzioso e profondo, come il morso di un serpente velenoso: dopo l’iniziale RCE, vengono installate web shell persistenti, raccolte credenziali, e se possibile, effettuata lateralizzazione all’interno della rete.

Cosa dice l’analisi tecnica?

Secondo il sandbox report associato al sample [SHA256: 1116231836ce7c8c64dd86027b458c3bf0ef176022beadfa01ba29591990aee6], l’exploit esegue un file ASP (“spinstall0.asp”) che è responsabile del drop della webshell. Il comportamento osservato include l’enumerazione dei dispositivi fisici di storage e l’invocazione di comandi via cmd.exe, confermando le capacità di persistence e reconnaissance.

Il report MITRE ATT&CK allega la catena a ben 14 tattiche tra cui Initial Access, Execution, Privilege Escalation, Credential Access e Command and Control, una vera sinfonia dell’intrusione avanzata.

Il vantaggio (ormai evidente) del cloud

Mentre SharePoint on-prem diventa bersaglio preferito dei threat actor, la versione cloud SharePoint Online resta immune. Il perché è chiaro: patching centralizzato, threat hunting automatico, controllo continuo e minore esposizione. La differenza tra on-prem e SaaS in termini di sicurezza non è mai stata così visibile.

Come a dire: chi ha scelto il cloud ha preso l’ombrello prima della tempesta.

Microsoft e Recorded Future: corsa alla contromisura

Microsoft ha rilasciato aggiornamenti d’emergenza nel patch Tuesday di luglio e ha pubblicato specifiche raccomandazioni: applicare le patch (se disponibili), abilitare l’AMSI, usare Defender, e, dettaglio importantissimo, ruotare le chiavi ASP.NET per spezzare la persistenza post-exploit. Tuttavia, SharePoint Server 2016 resta ancora senza una patch ufficiale al momento in cui scriviamo. Un incubo per chi non può migrare.

Parallelamente, Recorded Future ha creato un Nuclei template per rilevare CVE-2025-53770, utile per attività di threat hunting automatizzate. Il template sfrutta un endpoint /vti_pvt/service.cnf e analizza la build SharePoint esposta per rilevare versioni vulnerabili.

Un ulteriore elemento critico è che esiste già un proof-of-concept pubblicato su GitHub, cosa che ha sicuramente accelerato l’adozione dello sfruttamento da parte degli attori malevoli.

Considerazioni finali

La vicenda ToolShell mette a nudo (di nuovo) il ritardo strutturale nella gestione dei sistemi on-premises, specie in aziende e PA con infrastrutture legacy, dove il patching non è né rapido né costante. Ma va anche oltre: ci sbatte in faccia la cruda realtà di una gestione superficiale della superficie di esposizione e della visibilità interna.

Chi gestisce infrastrutture SharePoint esposte dovrebbe agire immediatamente: patch dove disponibili, isolamento dei sistemi vulnerabili, controllo dei log, ricerca di webshell, e soprattutto, un riesame strategico delle scelte infrastrutturali. È il momento di smettere di trattare la sicurezza come una check-list e cominciare a considerarla un processo vivo, continuo, e, se serve, doloroso.

Chi resta fermo in questo momento… sta già arretrando.

Sandro Sana
Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA. Fa parte del Comitato Scientifico del Competence Center nazionale Cyber 4.0, dove contribuisce all’indirizzo strategico delle attività di ricerca, formazione e innovazione nella cybersecurity.

Lista degli articoli
Visita il sito web dell'autore

Articoli in evidenza

Due bug critici in Cisco ASA e FTD: score 9.9 e rischio esecuzione di codice remoto
Di Redazione RHC - 25/09/2025

Cisco ha reso note due vulnerabilità critiche che interessano i propri firewall Secure Firewall Adaptive Security Appliance (ASA) e Secure Firewall Threat Defense (FTD), oltre ad altri prodotti di re...

Linux balla la samba… ma cade in una race condition. Una falla critica minaccia il kernel
Di Redazione RHC - 25/09/2025

Il ricercatore Nicholas Zubrisky di Trend Research ha segnalato una vulnerabilità critica nel componente ksmbd del kernel Linux che consente ad aggressori remoti di eseguire codice arbitrario con i m...

Criptovalute, ransomware e hamburger: la combo fatale per Scattered Spider
Di Redazione RHC - 25/09/2025

Il Dipartimento di Giustizia degli Stati Uniti e la polizia britannica hanno incriminato Talha Jubair, 19 anni, residente nell’East London, che gli investigatori ritengono essere un membro chiave di...

Rilevate vulnerabilità Zero-Day in Cisco IOS e IOS XE: Aggiornamenti Urgenti
Di Redazione RHC - 25/09/2025

Una vulnerabilità zero-day, monitorata con il CVE-2025-20352, è stata resa pubblica da Cisco nei suoi diffusissimi software IOS e IOS XE; tale vulnerabilità risulta essere sfruttata attivamente. L�...

Esce Kali Linux 2025.3! Nuova release con miglioramenti e nuovi strumenti
Di Redazione RHC - 24/09/2025

Gli sviluppatori di Kali Linux hanno rilasciato una nuova release, la 2025.3, che amplia le funzionalità della distribuzione e aggiunge dieci nuovi strumenti di penetration testing. L’aggiornamento...