Uvod
Microsoft je 19. srpnja 2025. izdao hitne sigurnosne smjernice zbog otkrivene 0-day ranjivosti u on-premises SharePoint Serveru (CVE-2025-53770), poznatoj i pod nazivom “ToolShell”. Ova kritična ranjivost omogućuje izvršavanje zlonamjernog koda na daljinu bez autentifikacije te je već aktivno iskorištavana.
❗ Važno: Ova ranjivost utječe isključivo na lokalno instalirane (on-prem) verzije SharePoint Servera.
SharePoint Online (Microsoft 365 / cloud) nije pogođen ovim sigurnosnim propustom.
Ključne informacije o ranjivosti CVE-2025-53770
-
Naziv ranjivosti: CVE-2025-53770 (poznata i kao ToolShell)
-
Tip napada: Remote Code Execution (RCE) kroz neautentificiranu deserializaciju
-
Pogođeni sustavi:
-
SharePoint Server 2016
-
SharePoint Server 2019
-
SharePoint Subscription Edition
-
-
Nisu pogođeni:
-
Microsoft 365 / SharePoint Online (cloud verzija)
-
Što napadači mogu učiniti?
Zlonamjerni akteri mogu iskoristiti ovu ranjivost kako bi:
-
Instalirali webshell na server (
spinstall0.aspx) -
Ukrali kriptografske ključeve i osigurali trajnu prisutnost
-
Zaobišli zaštitu standardnih sigurnosnih alata
-
Nastavili pristup čak i nakon instalacije zakrpa, ako se ne rotiraju ključevi
🥷 Tko stoji iza napada?
Microsoft je identificirao više državnih aktera iz Kine koji ciljano napadaju SharePoint sustave:
-
Linen Typhoon
-
Violet Typhoon
-
Storm-2603
Ciljevi su uglavnom vladine institucije, telekomi, financijske tvrtke i IT dobavljači.
Kako se zaštititi? – Detaljne upute
1. Odmah instalirajte zakrpe
Microsoft je objavio sigurnosna ažuriranja za:
-
SharePoint Server 2019
-
SharePoint Subscription Edition
Zakrpa za SharePoint 2016 je još u izradi.
🔗 Microsoft CVE-2025-53770 službena objava
2. Omogućite AMSI u Full Mode
-
Aktivirajte Antimalware Scan Interface (AMSI)
-
Instalirajte Microsoft Defender Antivirus na svim pogođenim serverima
3. Rotirajte kriptografske ključeve
-
ASP.NET MachineKeys
-
OAuth i TLS certifikati
-
SSO konfiguracije
4. Forenzička provjera kompromitacije
-
Neautorizirani
.aspxfajlovi -
POST zahtjevi prema
/layouts/ -
Neobični procesi (
w3wp.exe,OWSTIMER.exe)
5. Privremena izolacija servera
Ako niste u mogućnosti odmah zaštititi sustav:
➡️ Privremeno isključite server s interneta
Ključne SEO fraze za vašu IT sigurnost
-
“SharePoint ranjivost 2025”
-
“CVE-2025-53770 zakrpa”
-
“ToolShell malware SharePoint”
-
“Microsoft SharePoint sigurnosni propust”
-
“On-prem SharePoint exploit”
-
“SharePoint Online nije pogođen”
Zaključak
Ranjivost CVE-2025-53770 predstavlja ozbiljnu prijetnju za organizacije koje koriste on-premises verzije SharePoint Servera. Ova ranjivost ne utječe na SharePoint Online unutar Microsoft 365 okruženja, ali svi lokalni serveri moraju odmah biti ažurirani i analizirani. Želite pomoć oko zaštite SharePoint okruženja? Kontaktirajte nas na info@carpen-rebuild.hr za besplatnu sigurnosnu procjenu i konzultacije.
✅ Zakrpajte sustav
🔁 Rotirajte ključeve
🔍 Provedite sigurnosni audit