Pwn2Own için bulunan SharePoint açığı: JWT atlatma, Ağustos'ta RCE'ye zincirlenecek
Bu haftaki rekor Patch Tuesday'in içinden, zaten istismar edilen iki açığın dışında öne çıkan ayrı bir zafiyet: CVE-2026-55040, SharePoint'in JWT token doğrulamasındaki bir kimlik-doğrulama atlatma açığı (CVSS 9.1). Rapid7'nin Pwn2Own Berlin için geliştirdiği açık, ikinci bir zafiyetle zincirlendiğinde kimliksiz uzaktan kod çalıştırmaya (RCE) varıyor — zincirin RCE parçası Ağustos yamasında kapatılacak.
Bu haftanın rekor 622 CVE’lik Patch Tuesday’inde zaten aktif istismar edilen iki açığın (SharePoint CVE-2026-56164 ve AD FS CVE-2026-56155) yanı sıra, farklı bir SharePoint zafiyeti de dikkat çekiyor: CVE-2026-55040.
Açığın kaynağı: Pwn2Own Berlin
CVE-2026-55040, Rapid7’nin Kıdemli Baş Güvenlik Araştırmacısı Stephen Fewer tarafından bulundu ve aslen Pwn2Own Berlin hackleme yarışması için geliştirildi. Açık, SharePoint’in JWT (JSON Web Token) doğrulama hattındaki birkaç ayrı sorundan kaynaklanıyor ve CVSS 9.1 (Kritik) olarak derecelendirildi.
Ne yapabiliyor
Açığı istismar eden kimliksiz bir uzak saldırgan, hedef kullanıcı adını önceden bilmesi koşuluyla, herhangi bir SharePoint site kullanıcısının — yöneticiler dahil — kimliğine bürünebiliyor. Rapid7, bu zafiyeti ikinci, ayrı bir açıkla zincirleyerek kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmaya (RCE) ulaştığını bildirdi. Zincirin RCE parçasının Ağustos 2026 yama döngüsünde kapatılması bekleniyor — yani JWT atlatma parçası şimdiden yamalanmış olsa da, tam zincir henüz tamamen kapanmadı.
Yamalar şu an SharePoint Server Subscription Edition, 2019 ve 2016 için mevcut.
Neden önemli
Aynı ayda birden fazla bağımsız kritik SharePoint zafiyetinin ortaya çıkması — biri zaten istismar edilen bir yetki yükseltme açığı, diğeri Pwn2Own kökenli bir kimlik doğrulama atlatma + RCE zinciri — kurumsal BT ekiplerine tek bir CVE’yi yamalamanın yeterli olmadığını hatırlatıyor. SharePoint gibi geniş yetkilere sahip, internetten erişilebilir sunucu yazılımlarında “bu ayki listeyi kapattım” güvencesi, bir sonraki ayın zincirlenebilir açığına kadar geçerli.
Aynı Patch Tuesday'de birden fazla bağımsız kritik SharePoint açığının çıkması, kurumsal SharePoint dağıtımlarının 2026'nın en yoğun hedeflenen sunucu-taraflı yazılım kategorilerinden biri haline geldiğini gösteriyor.
- Rapid7 — CVE-2026-55040: Microsoft SharePoint JWT Token Authentication Bypass (FIXED) · 2026-07-14
- Rapid7 — Patch Tuesday, July 2026 · 2026-07-14
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.