L'últim pedaç que rebrà el teu SharePoint 2016 es va publicar el 14 de juliol

Quan surt una prova de concepte i al cap d'unes hores hi ha atacants fent-la servir, la reacció d'ofici és preguntar-se si calia publicar-la. Ens sembla la pregunta equivocada, i no per elegància: els sensors de KEVintel daten el primer intent contra aquesta fallada el 19 de juliol, vint-i-quatre dies abans que l'exploit existís a GitHub. El que sí que canvia el problema és una altra data: el pedaç va sortir el 14 de juliol, el mateix dia que SharePoint Server 2016 i 2019 van deixar de rebre'n.

No som partidaris ni detractors de publicar codi d'explotació per principi. Administrem servidors de clients, i des d'aquesta cadira el que compta són els vint-i-nou dies que van del pedaç del 14 de juliol a l'exploit del 12 d'agost: què se'n va fer. En aquest cas hi ha a més una circumstància que no es repeteix cada mes, i és la que fa que aquest avís mereixi mitja hora de la teva tarda.

Què fa la fallada: una signatura que ningú no comprova

CVE-2026-55040 està puntuat per Microsoft amb un 9,1, amb aquest vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Per xarxa, sense complicacions, sense credencials prèvies, sense que ningú hagi de clicar res. Confidencialitat i integritat altes; disponibilitat, cap. En cristià: el servidor continua dret mentre algú hi llegeix i hi escriu fent-se passar per un altre.

L'anàlisi de Rapid7 descriu quatre peces que fallen seguides, i cap no és un desbordament exòtic. Són quatre comprovacions que existeixen i que diuen que sí:

L'única cosa que l'atacant ha d'aportar és a qui vol suplantar: el SID de Windows o l'UPN de la víctima, que molt sovint és la seva adreça de correu. Amb això opera com aquest usuari —o com a administrador del lloc— contra les API autenticades. El punt tres és el que més s'assembla a la vida real: la comprovació no falla per descuit, falla per estar mal orientada. Busca en una llista, no troba el certificat i en comptes de rebutjar-lo, el dona per bo.

La cronologia, que és on és l'argument

El dia que cal mirar és el 19 de juliol, amb un advertiment al davant: ve d'una sola font. Els sensors de KEVintel daten allà el primer intent contra aquesta fallada, i la cobertura del sector —que situa l'explotació després de la prova de concepte— no ho recull. Són a més pocs esdeveniments: fins a l'11 d'agost, la mateixa fitxa amb prou feines en comptava una desena. I CISA, en la seva valoració del 13 d'agost, continua classificant l'explotació com a «prova de concepte» i no com a «activa». No ho donem per tancat; ho donem per suficient per anar a mirar els registres de juliol, que és el que costa mitja hora. Perquè per arribar-hi no cal cap actor estatal: n'hi ha prou de saber comparar el binari d'abans del pedaç amb el de després, que és una tècnica de manual i no cap gesta.

L'argument de sempre, i per què aquí no val

L'argument contra publicar codi d'explotació té una versió forta, i convé posar-la sencera: a qui anava de debò no li calia —aquell feia setmanes que ho tenia—, però un repositori amb l'exploit a dins converteix qualsevol amb una consola en un atacant capaç. En aquest cas hi ha dades que ho avalen: els intents que registren els sensors es concentren just després del 12 d'agost, i els esquers de Defused van veure el codi de Rapid7 fet servir tal qual, el mateix dia. Publicar té un cost mesurable.

Tot i així no ens convenç, per una raó concreta: l'argument demana temps per pedaçar, i aquí ja no queda temps per demanar. La lògica de retardar la publicació té sentit quan hi ha un procés d'arranjament funcionant —el fabricant corregeix, el client aplica, la finestra es tanca—. Per a un SharePoint 2016 o 2019, aquest procés es va tancar el 14 de juliol i no hi ha ESU per comprar, com ja vam explicar quan va arribar la data. Allà el retard no compra pedaç: compra ignorància. Quatre setmanes més de silenci no haurien arreglat ni un servidor; haurien mantingut els qui l'administren pensant que un avís de juliol ja estava resolt.

I cal dir la part que no ens afavoreix: tenim interès. Vivim d'administrar infraestructura de clients i de desplegar Microsoft 365, així que un avís sorollós ens beneficia. Llegeix-ho amb això posat. El que no canvia amb l'interès de ningú és el calendari de suport.

Un contrast que convé tenir al davant

A dia d'avui, CVE-2026-55040 no figura al catàleg KEV de CISA. La fallada dels Cisco ASA de la qual vam escriure aquest mateix matí sí que hi és: va entrar l'11 d'agost amb data límit el 14, i és una denegació de servei que no filtra ni altera res. Aquesta permet fer-se passar per l'administrador de la teva intranet. Sobre per què una llista aliena arriba sempre amb la seva pròpia latència ja vam escriure amb l'avís de vCenter; aquí n'hi ha prou de deixar els dos casos l'un al costat de l'altre.

Què mirem nosaltres en un servidor així

Tres reflexos que surten cars

El primer és posar una regla al WAF i donar el tema per tancat. Serveix per a aquesta cadena concreta i per al patró que avui es coneix; el servidor que hi ha darrere continuarà sense rebre arranjaments el mes que ve, i per a la propera fallada no hi haurà cap regla per copiar de ningú.

El segon és anunciar la migració a Microsoft 365 «per a aquest mes». Moure una intranet amb anys de permisos heretats, fluxos i personalitzacions no és un cap de setmana, i prometre-ho és com s'acaba amb les dues coses enceses i cap de mantinguda. Reduir l'exposició avui i migrar amb calendari són dues decisions diferents, i només una es pot fer aquesta tarda.

El tercer és arxivar-ho com una fallada més del munt. Al juliol van sortir 622 pedaços en un sol dia i aquest volum convida a tractar-los per lots. Aquest té una diferència de fons amb els altres 621: no hi haurà cap dimarts vinent que arregli el que vingui després.

El que va canviar el 15 de juliol

Un servidor fora de suport no és un servidor amb un risc més gran: és un servidor amb un risc que ja no baixa. Fins al 14 de juliol, cada fallada que apareixia al teu SharePoint 2016 tenia al davant una data en què s'arreglaria. Des del 15, no. Aquest CVE és el primer que ho demostra amb exploit públic i amb intents sobre la taula, i per això val la pena mirar-lo avui: ensenya alguna cosa sobre els que vindran darrere i ja no portaran KB. Convé saber fins quan «estem pedaçats» continuarà volent dir alguna cosa en aquesta màquina.

Amb una excepció honesta: Microsoft ha trencat la seva pròpia regla almenys dues vegades, amb XP i Server 2003 el 2017 per WannaCry i una altra el 2019 per BlueKeep, sempre davant fallades capaces de propagar-se soles de màquina en màquina. Aquesta no ho és. Planificar comptant amb aquesta excepció és planificar amb la loteria.

Fonts (consultades el 14 d'agost del 2026): puntuació 9,1, vector CVSS, descripció oficial, versions afectades i compilacions corregides — registre de CVE-2026-55040 al NVD, amb la mètrica assignada per Microsoft i amb la valoració SSVC de CISA del 13 d'agost que classifica l'explotació com a «prova de concepte»; cadena tècnica de les quatre comprovacions i data de divulgació conjunta del 14 de juliol — anàlisi tècnica de Rapid7; números de KB — KB5002891, KB5002883 i KB5002882 al suport de Microsoft; publicació de la prova de concepte i observació del seu ús el 12 d'agost per Defused — Security Affairs i BleepingComputer, que és també la font del recompte de més de 8.500 servidors exposats atribuït a Shadowserver; primer intent observat el 19 de juliol, 367 intents acumulats, 23 adreces IP, vuit països i confiança «confirmada» — fitxa de KEVintel (telemetria de quatre sensors privats: són intents observats per ells, no un cens del sector, i la cobertura del sector situa l'explotació després de la prova de concepte); absència del CVE al catàleg de vulnerabilitats explotades conegudes — KEV de CISA, comprovat sobre el seu fitxer públic el 14 d'agost; fi de suport estès de SharePoint Server 2016 i 2019 el 14 de juliol del 2026 sense programa ESU — cicle de vida de SharePoint Server 2016 i 2019 a Microsoft Learn. Foto: «Archive storage», Samuel Zeller, domini públic (CC0), via Wikimedia Commons.