Vulnerabilità critica in Microsoft SharePoint (CVE-2026-50522): cosa fare se la tua azienda la utilizza

Vulnerabilità critica in Microsoft SharePoint (CVE-2026-50522): cosa fare se la tua azienda la utilizza

In breve

CVE-2026-50522 è una vulnerabilità critica, con punteggio CVSS di 9.8 su 10 [1], che riguarda Microsoft Office SharePoint. È dovuta a una deserializzazione di dati non attendibili che consente a un attaccante non autorizzato di eseguire codice da remoto attraverso la rete [1]. È stata pubblicata il 14 luglio 2026 [1] ed è inserita nel catalogo delle vulnerabilità di exploit noto (KEV) mantenuto da CISA [2], il che conferma che viene già utilizzata in attacchi reali, non solo in test di laboratorio. Se la tua organizzazione utilizza SharePoint, il passo da compiere oggi è identificare quali istanze sono attive e in quale stato di aggiornamento si trovano, e dare priorità all'applicazione delle relative patch di Microsoft.

Cos'è e perché è importante

Una vulnerabilità di "deserializzazione non sicura" si verifica quando un'applicazione ricostruisce oggetti a partire da dati provenienti dall'esterno senza verificarne adeguatamente l'origine o il contenuto. Se un attaccante riesce a manipolare tali dati, può fare in modo che il server esegua istruzioni arbitrarie per suo conto. Nel caso di CVE-2026-50522, questo si traduce in esecuzione di codice remoto su SharePoint da parte di un attaccante non autorizzato, ossia senza bisogno di credenziali valide [1].

La combinazione di tre fattori spiega la gravità: si tratta di un prodotto di collaborazione molto diffuso negli ambienti aziendali, il punteggio di severità è il massimo possibile in pratica (9.8, classificato come "critico" da NVD) [1], ed è già accertato lo sfruttamento attivo secondo l'elenco KEV di CISA [2]. Il nostro radar interno di intelligence OCIRIA registra questa stessa vulnerabilità come prioritaria, classificandola come esecuzione di codice remoto di severità critica; questa valutazione si basa sugli stessi dati pubblici di NVD e CISA citati qui, non su una fonte aggiuntiva indipendente.

Chi è interessato

Il fornitore interessato è Microsoft, e il prodotto specifico è SharePoint [1]. Qualsiasi organizzazione che utilizzi SharePoint come piattaforma di collaborazione, gestione documentale o intranet aziendale deve considerarsi potenzialmente esposta. La verità strutturata disponibile non specifica versioni concrete del prodotto né le dimensioni o il settore delle organizzazioni interessate, per cui non è possibile delimitare ulteriormente la portata senza rischiare di speculare; la cosa prudente è che qualsiasi azienda con SharePoint nella propria infrastruttura verifichi la propria esposizione, indipendentemente dalle sue dimensioni.

Come sapere se sei vulnerabile

• Verifica se SharePoint fa parte della tua infrastruttura (server proprietari, non solo l'uso di Microsoft 365 in generale) e quali istanze sono accessibili dall'esterno della rete aziendale.
• Controlla lo stato di aggiornamento di tali server rispetto ai bollettini di sicurezza di Microsoft successivi alla pubblicazione di questa CVE (14 luglio 2026) [1].
• Dato che è accertato lo sfruttamento attivo nel catalogo KEV [2], controlla i registri di accesso e attività di SharePoint alla ricerca di comportamenti anomali, come processi inattesi avviati dal servizio stesso o connessioni in uscita non abituali, che possano indicare un tentativo di exploit già avvenuto.
• Verifica quali interfacce di amministrazione o componenti di SharePoint sono esposti direttamente su internet, poiché ridurre tale superficie visibile limita le opportunità di un attaccante mentre si completa l'applicazione delle patch.

Come proteggerti

1. Applica quanto prima gli aggiornamenti di sicurezza di Microsoft disponibili per la tua versione di SharePoint; è la misura che chiude direttamente la via di sfruttamento di questa vulnerabilità specifica.

2. Se la distribuzione immediata della patch non è fattibile, valuta misure temporanee di contenimento, come limitare l'accesso di rete ai server SharePoint solo agli utenti e ai sistemi strettamente necessari.

3. Controlla accessi e log di SharePoint per escludere che lo sfruttamento sia già avvenuto nel tuo ambiente, dato che questa CVE risulta sfruttata attivamente [2].

4. Mantieni un inventario aggiornato di dove viene eseguito SharePoint nella tua organizzazione (server proprietari, filiali, fornitori) per non lasciare istanze fuori dal processo di applicazione delle patch.

5. Rafforza la capacità di risposta agli incidenti: trattandosi di una vulnerabilità critica con exploit confermato, è opportuno avere chiaro il procedimento da seguire in caso di rilevamento di attività sospetta.

Domande frequenti

È una vulnerabilità critica confermata, non solo una stima?

Sì, NVD la classifica con severità "critica" e punteggio CVSS di 9.8 [1].

Viene già sfruttata in attacchi reali?

Sì, CISA la include nel suo catalogo delle vulnerabilità di exploit noto (KEV) [2], il che indica uno sfruttamento attivo confermato, non solo un rischio teorico.

Riguarda solo SharePoint Online (cloud) o anche le installazioni on-premise?

La verità strutturata disponibile non specifica il tipo di implementazione interessata, ma solo che il prodotto è Microsoft Office SharePoint [1]. Data questa mancanza di dettagli, la cosa prudente è verificare qualsiasi istanza di SharePoint gestita dalla tua organizzazione.

Cosa devo fare se non posso applicare subito la patch?

Riduci l'esposizione di rete dei tuoi server SharePoint e rafforza il monitoraggio degli accessi mentre completi il processo di aggiornamento; non sostituisce la patch, ma limita la finestra di rischio.

Fonti

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-50522
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json