CISA Perbarui Peringatan SharePoint: Patching Saja Tidak Cukup

Konteks

CISA memperbarui peringatan SharePoint Server pada 18 Agustus 2026 setelah menambahkan CVE-2026-55040 ke Known Exploited Vulnerabilities Catalog. Peringatan itu mencakup enam kerentanan yang diketahui aktif dieksploitasi pada SharePoint Server on-premises versi Subscription Edition, 2019, dan 2016.

Menurut CISA, rangkaian kerentanan tersebut dapat membuka akses tidak sah, remote code execution, pencurian IIS machine key, persistensi, dan penyebaran malware. CISA meminta organisasi tidak berhenti pada pemasangan patch: pemeriksaan artefak intrusi harus dilakukan sebelum rotasi machine key agar kunci baru tidak kembali dicuri.

Dampak bisnis

SharePoint sering menyimpan dokumen, identitas, dan alur kerja penting. Kompromi pada server on-premises dapat berkembang menjadi insiden akses data dan persistensi, meski patch kemudian dipasang.

Prioritas operasional perlu bergeser dari “patch selesai” menjadi “kompromi sudah disingkirkan”. Ini membutuhkan koordinasi tim infrastruktur, keamanan, pemilik aplikasi, dan respons insiden—terutama bila server pernah terekspos langsung ke internet.

3 Langkah praktis

1. Temukan dan kurangi paparan. Inventarisasi seluruh SharePoint on-premises, tutup akses internet yang tidak perlu, dan tempatkan layanan yang wajib publik di belakang reverse proxy Layer 7 dengan autentikasi dan inspeksi.
2. Patch lalu verifikasi. Terapkan pembaruan Microsoft, pastikan instalasi berhasil, aktifkan AMSI pada mode yang sesuai, dan batasi akses eksternal ke Central Administration.
3. Hunt sebelum rotasi. Cari webshell, aktivitas worker process yang janggal, akses machine key, dan indikator lain. Bersihkan artefak, lalu rotasi machine key sesuai panduan Microsoft dan jalankan prosedur respons insiden bila ditemukan kompromi.

Sumber

CISA, “CISA Urges SharePoint Hardening After New Exploitations”, diperbarui 18 Agustus 2026. Baca sumber resmi.