Una grave vulnerabilità in Microsoft SharePoint (solo versioni on-premise) ha dato origine a un attacco informatico globale, chiamato “ToolShell”, che ha compromesso oltre 80 enti tra cui agenzie federali, università, aziende energetiche e pubbliche amministrazioni in Stati Uniti, Europa, Sud America e Asia.
L’attacco è iniziato il 18 luglio e sfrutta due falle zero-day (CVE-2025-53770 e CVE-2025-53771), capaci di aggirare anche le patch rilasciate da Microsoft il 9 luglio per vulnerabilità precedenti. Gli aggressori hanno ottenuto accesso remoto ai server SharePoint, rubando dati sensibili e chiavi crittografiche.
Tra le vittime note:
- 2 agenzie federali USA
- 1 università brasiliana
- 1 ente governativo spagnolo
- 1 azienda asiatica di telecomunicazioni
Il Dipartimento della Sicurezza Interna USA, con supporto di Canada e Australia, ha avviato un’indagine.
🧩 Versioni colpite e patch disponibili
- Colpiti: SharePoint Server on-premise
- Non colpiti: Microsoft 365 e servizi cloud
- Patch rilasciate:
- SharePoint Server 2019 → KB50027541
- SharePoint Subscription Edition → KB5002768
- Ancora scoperto: SharePoint Enterprise Server 2016
🔒 Raccomandazioni di sicurezza
- Applicare immediatamente le patch disponibili
- Ruotare le machine key
- Scollegare i server non aggiornati da Internet
- Attivare AMSI (Antimalware Scan Interface)
- Monitorare eventuali file sospetti, come
spinstall0.aspx
⚠️ Critiche a Microsoft
Esperti evidenziano come Microsoft fatichi a contenere minacce zero-day. Le patch iniziali risultano spesso incomplete, lasciando aperte vie alternative per gli attaccanti. L’azienda è già sotto osservazione dopo un grave attacco del 2023 attribuito a hacker cinesi.