פריצה לסוכנות ה-IT הפדרלית של שווייץ דרך פגיעויות ב-SharePoint חשפה כ-200 חשבונות

הסוכנות הפדרלית לטכנולוגיית מידע ותקשורת של שווייץ, BIT, מדווחת שתוקפים פרצו לשרתי SharePoint פנים-ארגוניים שלה וגנבו פרטי התחברות של כ-200 חשבונות. האירוע ממחיש שוב את הסיכון בשרתי SharePoint מקומיים (on-premises) שלא עודכנו במהירות מספקת מול גל הפגיעויות שהתגלה בהם בחודשים האחרונים.

הפרטים

לפי הודעת BIT, אנשי אבטחה זיהו פעילות חריגה בשרתי ה-SharePoint הפנימיים בסביבות 28 ביולי 2026, ובבדיקה שהושלמה כמה ימים לאחר מכן התברר שפרטי ההתחברות של כ-200 חשבונות משתמשים וחשבונות טכניים נחשפו. הסוכנות מעריכה כי הפריצה בוצעה על ידי גורם לא מזוהה שניצל אחת מהפגיעויות ב-SharePoint שמיקרוסופט תיקנה בעדכוני יולי 2026 (בין החשודות: CVE-2026-50522 ו-CVE-2026-56164), אך טרם אושר סופית איזו פגיעות ספציפית נוצלה.

BIT מדגישה שעל פי המדיניות הפנימית שלה אסור לאחסן במערכת ה-SharePoint הזו מידע חסוי או מידע אישי רגיש, ושבשלב זה אין ממצא לגניבת מידע מעבר לפרטי ההתחברות עצמם — אך הבדיקה עדיין נמשכת. עם גילוי האירוע נחסמה הגישה החיצונית לשרתים, הותקנו התיקונים, אופסו הסיסמאות של החשבונות הנפגעים, והשרתים עצמם מותקנים מחדש כאמצעי זהירות. אף קבוצת כופרה או סחיטת מידע לא לקחה אחריות על האירוע.

נקודות לשים לב

• זה נוגע לכל ארגון שמפעיל שרת SharePoint מקומי (on-premises) ולא עדכן במהירות את תיקוני יולי 2026 — לא רק לגופים ממשלתיים.
• אם אתה מריץ SharePoint Server מקומי, ודא שהותקנו עדכוני יולי 2026 ובדוק אם יש עדות לניצול לפני התיקון — פגיעויות מהגל הזה אפשרו לתוקפים לגנוב machine keys שנשארים תקפים גם אחרי עדכון.
• התקנת התיקון לבדה לא מספיקה במקרה של חשד לניצול מוקדם: יש לאפס סיסמאות ולשקול סבב (rotation) של מפתחות מכונה, בדומה לצעד שנקטה BIT.
• אל תסיקו מהאירוע מסקנות שאין להן אישוש — עדיין אין ייחוס לקבוצת תקיפה מסוימת, ואין אישור שנגנב מידע מעבר לפרטי התחברות.
• מעקב אחרי פעילות חריגה בלוגים של SharePoint הוא מה שאיפשר לצוות האבטחה של BIT לזהות את האירוע בשלב מוקדם יחסית — כדאי לוודא שיש ניטור דומה בסביבה שלכם.

מקורות: BleepingComputer · The Record