Уязвимость нулевого дня в локальном SharePoint позволяла выполнять код и красть ключи сервера. Почему после обновления нужно было сменить machine keys.
Публично раскрыта: 19 июля 2025
19 июля 2025 года Microsoft опубликовал рекомендации в связи с активными атаками на локальные серверы SharePoint. Уязвимость, получившая название «ToolShell», позволяла удалённо выполнять код без аутентификации и обходила исправление, выпущенное ранее в том же месяце. Злоумышленники устанавливали веб-шеллы и похищали ключи ASP.NET (machine keys), что позволяло сохранять доступ даже после обновления.
| CVE | Опасность | Уязвимые версии | Исправлено в |
|---|---|---|---|
CVE-2025-53770 | Критическая, CVSS 9.8 (десериализация, удалённое выполнение кода) | SharePoint Server 2016, 2019 и Subscription Edition (локальные) | Экстренные обновления безопасности июля 2025 |
SharePoint Online в Microsoft 365 затронут не был.
.aspx в папках layouts SharePoint, и при обнаружении проводите расследование.После атаки с кражей ключей обновление запирает дверь, но ключи всё равно нужно сменить.
Источники: Microsoft MSRC guidance, NVD CVE-2025-53770.
Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.
Новая цепочка эксплойтов даёт root на локальных серверах N-central; атаки начались через несколько часов после публикации. Полного исправления пока нет — срочные проверки.
Читать статьюЭксплуатируемая уязвимость Outlook передаёт хеш NTLM через специальный файл. В этом месяце Microsoft исправила более 1000 уязвимостей — вот приоритеты.
Читать статьюGoogle исправила уже эксплуатируемую уязвимость use-after-free в Chrome. Исправление работает только после перезапуска браузера — как убедиться, что защищён каждый ПК.
Читать статьюНаши инженеры проанализируют вашу текущую инфраструктуру и предложат конкретные улучшения.