Według CERT Polska błąd obsługi tokenu JWT w SharePoint pozwala ominąć uwierzytelnienie i działać jako dowolny użytkownik, także administrator. W komunikacie z 12 sierpnia instytucja wskazuje publiczny Proof-of-Concept i zaleca weryfikację wersji oraz aktualizację, ale nie potwierdza aktywnych ataków. Dla właściciela lokalnego repozytorium dokumentów to powód, by sprawdzić również konta o najwyższych uprawnieniach.

Czy przegląd uprawnień do dokumentów wystarczy, jeśli ktoś może działać w SharePoint jako administrator? Odpowiedź wyznacza sens ostrzeżenia CERT Polska: przy ocenie repozytorium trzeba uwzględnić możliwość podszycia się pod użytkownika, któremu te uprawnienia przyznano. Samo pytanie, kto powinien mieć dostęp, pozostawia wtedy część ryzyka poza oceną. Proponujemy postawić obok niego pytanie o stan lokalnej instalacji SharePoint i możliwość jej aktualizacji. Nie znamy stanu konkretnego środowiska czytelnika ani działań jego administratorów. Znamy natomiast opisany przez CERT Polska problem i zalecenie sprawdzenia wersji. To punkt wyjścia do decyzji o własnym repozytorium, bez dopisywania historii o włamaniu, którego komunikat nie dokumentuje.

Błąd JWT pozwala działać jako inny użytkownik

Jak podaje CERT Polska, problem dotyczy obsługi tokenu JWT w SharePoint. Skutkiem jest możliwość ominięcia procesu uwierzytelnienia i wykonywania operacji jako dowolny użytkownik. W ocenie ryzyka zacznijmy od administratora, bo możliwość działania z taką tożsamością jest powodem, by sprawdzić najwyższe uprawnienia w repozytorium.

Wniosek dla właściciela SharePoint dotyczy zakresu przeglądu. Zestawienie przyznanych uprawnień uzupełnijmy o ocenę scenariusza, w którym ktoś podszywa się pod ich posiadacza. Nie przesądzamy, jakie dokumenty byłyby dostępne w danej organizacji ani jakie konkretne operacje mógłby tam wykonać napastnik. Te odpowiedzi trzeba ustalić na podstawie własnego środowiska SharePoint.

Ocena ryzyka SharePoint powinna obejmować możliwość działania pod tożsamością administratora, a nie kończyć się na liście przyznanych uprawnień.

Opis CERT Polska daje podstawę do takiego pytania, ale przyjęte do artykułu fakty nie pozwalają odtworzyć technicznych warunków wykorzystania błędu JWT. Nie wyprowadzamy z nich szczegółowego scenariusza przejęcia dokumentów. Do decyzji zarządczej wystarczy wskazana możliwość podszycia się pod użytkownika oraz pytanie, czy lokalna instalacja wymaga aktualizacji.

Publiczny PoC uzasadnia sprawdzenie stanu aktualizacji

CERT Polska wskazuje publiczny Proof-of-Concept dotyczący wykorzystania podatności. Komunikat nie potwierdza jednak aktywnych ataków. W raporcie o SharePoint zachowajmy oba ustalenia: dostępność PoC uzasadnia pilność weryfikacji, lecz sama nie dowodzi incydentu w organizacji.

Przełóżmy to na warunkowy przykład procedury. Jeżeli sprawa SharePoint otrzymałaby status „obsłużona” już po wpisaniu aktualizacji do harmonogramu, proponujemy sprawdzić, czy ten status oznacza wykonanie prac, czy jedynie zamiar. Komunikat CERT Polska nie opisuje takiego zachowania żadnej firmy. To pytanie kontrolne wynikające z zalecenia CERT Polska, aby zweryfikować wersję i zaktualizować oprogramowanie.

Właściciel SharePoint powinien poprosić o zapis ustalonej wersji oraz potwierdzenie, na jakiej podstawie określono potrzebną aktualizację. Jeśli prace są dopiero planowane, proponujemy zachować ten status w raporcie i wskazać osobę odpowiedzialną za następny krok. Jeśli administrator deklaruje zakończenie, poprośmy o potwierdzenie wersji po zmianie. Takie rozróżnienie pozwoli ocenić, czy zalecenie CERT Polska wykonano, na podstawie sprawdzenia instalacji, a nie samej deklaracji o zajęciu się tematem.

Zarząd powinien poznać zakres najwyższych uprawnień

Dla osoby odpowiadającej za repozytorium SharePoint proponujemy pytanie o konsekwencje: co oznaczałoby w tym środowisku działanie jako administrator? Odpowiedź powinna odnosić się do faktycznych uprawnień kont. Nie przypisujmy im z góry dostępu do wszystkich firmowych dokumentów, skoro nie znamy konfiguracji konkretnego repozytorium.

Przegląd kont o najwyższych uprawnieniach proponujemy włączyć do oceny ryzyka opisanego przez CERT Polska. Ustalmy, które konta należą do tej grupy, kto odpowiada za ich utrzymanie i jaki zakres operacji jest im przypisany. W raporcie o SharePoint oddzielmy ustalenia potwierdzone przez administratora od pozycji wymagających wyjaśnienia. Brak wiedzy o zakresie uprawnień powinien pozostać widoczny jako brak wiedzy.

Przegląd kont administratorów SharePoint służy ocenie możliwych skutków; nie zastępuje zalecanej weryfikacji wersji i aktualizacji.

Proponujemy, aby właściciel SharePoint połączył wynik przeglądu kont z informacją o ścieżce aktualizacji. Jeżeli nie ustalono jeszcze sposobu wykonania zmiany, właściciel SharePoint wskazuje, kto ma go wyjaśnić i kiedy wróci z odpowiedzią. Nie podajemy kosztu prac ani potencjalnej straty, bo fakty zgłoszenia nie zawierają takich danych. Decyzję o dalszym postępowaniu oprzyjmy na ustaleniach dotyczących lokalnego SharePoint, bez zastępowania ich szacunkami bez podstaw.

Ostrzeżenie CERT Polska jest punktem wyjścia do lokalnej weryfikacji

Polskim kontekstem tej wiadomości jest komunikat CERT Polska z 12 sierpnia 2026 r. Nie daje on podstaw do ogłoszenia, że doszło do ataku na polskie repozytorium dokumentów. Braku potwierdzenia aktywnych ataków nie odczytujmy też jako zapewnienia, że konkretna instalacja SharePoint jest bezpieczna.

Dla polskiego odbiorcy proponujemy zatem przełożyć ostrzeżenie CERT Polska na ustalenia dotyczące własnej usługi: wersję, ścieżkę aktualizacji i konta o najwyższych uprawnieniach. Jeżeli którejś odpowiedzi brakuje, zapiszmy ją jako nieustaloną i przypiszmy odpowiedzialność za sprawdzenie. Pozwoli to przedstawić zarządowi stan wiedzy o SharePoint bez sugerowania ani potwierdzonego włamania, ani zakończonej naprawy. Właśnie tak rozumiemy praktyczny sens tego ostrzeżenia dla właściciela dokumentów.

Co z tym zrobić w poniedziałek

Każdy krok ogranicz do 30 minut. Przy SharePoint zacznij od razu; nazwa tej sekcji nie jest zaleceniem czekania z weryfikacją.

  1. Ustal wersję lokalnego SharePoint. Sprawdź dostępny zapis wersji lub poproś administratora o jej potwierdzenie. Zestaw wynik z komunikatem CERT Polska. Jeśli nie uzyskasz potwierdzenia w tym czasie, zapisz brak i osobę odpowiedzialną za jego uzupełnienie.
  2. Sprawdź ścieżkę aktualizacji SharePoint. Z administratorem przejrzyj dostępny plan prac i ustal następny krok, jego właściciela oraz termin. Odróżnij zaplanowanie zmiany od potwierdzenia jej wykonania. Zadaniem na pół godziny jest ustalenie stanu prac, bez obietnicy zakończenia całej aktualizacji.
  3. Przejrzyj konta o najwyższych uprawnieniach w SharePoint. Na podstawie dostępnego zestawienia zanotuj konta, zakres ich uprawnień i osoby odpowiedzialne za utrzymanie. Braki oznacz do wyjaśnienia przez administratora; wykorzystaj wynik do oceny scenariusza podszycia się pod użytkownika.

Granice dostępu do dokumentów w SharePoint trzeba oceniać również przez możliwość podszycia się pod administratora. Zalecenie CERT Polska powinno prowadzić do potwierdzenia stanu instalacji i decyzji o aktualizacji. Publiczny PoC daje powód do działania, bez dopisywania niepotwierdzonego incydentu.

Źródła

  • CERT Polska: Krytyczna podatność w Microsoft SharePoint, 12 sierpnia 2026 r. Źródło faktów o błędzie JWT, możliwości działania jako dowolny użytkownik, publicznym Proof-of-Concept oraz zaleceniu weryfikacji wersji i aktualizacji; komunikat nie potwierdza aktywnych ataków.

Redakcja cyberinsight.pl.