CVE-2026-35439

IMMEDIATE ACTIONS:

1. Inventory all SharePoint Server deployments (2016, 2019, subscription editions) across your organization

2. Restrict network access to SharePoint servers using firewall rules and network segmentation

3. Implement strict access controls limiting SharePoint access to essential personnel only

4. Enable enhanced logging and monitoring for SharePoint authentication and object deserialization events

5. Monitor for suspicious serialized object uploads and unusual code execution patterns



COMPENSATING CONTROLS (until patch available):

6. Deploy Web Application Firewall (WAF) rules to detect and block malicious serialized payloads

7. Implement application-level input validation and sanitization for all SharePoint data inputs

8. Use Microsoft's Security Update Guide to apply any interim mitigations when released

9. Consider disabling unnecessary SharePoint features and web services

10. Implement privileged access management (PAM) for SharePoint administrative accounts



DETECTION RULES:

- Monitor SharePoint ULS logs for deserialization exceptions and ObjectStateFormatter errors

- Alert on unusual PowerShell execution from SharePoint application pool accounts

- Track suspicious HTTP POST requests with serialized .NET object payloads to SharePoint endpoints

- Monitor for unexpected process spawning from w3wp.exe (SharePoint worker process)

الإجراءات الفورية:

1. قم بحصر جميع نشرات خادم SharePoint (2016 و2019 والإصدارات المشتركة) عبر مؤسستك

2. قيد الوصول إلى الشبكة لخوادم SharePoint باستخدام قواعد جدار الحماية والفصل الشبكي

3. طبق ضوابط وصول صارمة تقصر الوصول إلى SharePoint على الموظفين الأساسيين فقط

4. فعّل السجلات المحسّنة والمراقبة لأحداث المصادقة وفك تسلسل الكائنات في SharePoint

5. راقب عمليات تحميل الكائنات المسلسلة المريبة وأنماط تنفيذ الأكواد غير المعتادة



الضوابط التعويضية (حتى توفر التصحيح):

6. نشّر قواعد جدار تطبيقات الويب (WAF) للكشف عن حمولات مسلسلة ضارة وحجبها

7. طبق التحقق من صحة المدخلات على مستوى التطبيق والتطهير لجميع مدخلات بيانات SharePoint

8. استخدم دليل تحديث أمان Microsoft لتطبيق أي تخفيفات مؤقتة عند إصدارها

9. فكر في تعطيل ميزات SharePoint والخدمات الويب غير الضرورية

10. طبق إدارة الوصول المميز (PAM) لحسابات إدارة SharePoint



قواعد الكشف:

- راقب سجلات SharePoint ULS لاستثناءات فك التسلسل وأخطاء ObjectStateFormatter

- أصدر تنبيهات لتنفيذ PowerShell غير المعتاد من حسابات تجمع تطبيقات SharePoint

- تتبع طلبات HTTP POST المريبة مع حمولات كائنات .NET المسلسلة إلى نقاط نهاية SharePoint

- راقب توليد العمليات غير المتوقعة من w3wp.exe (عملية عامل SharePoint)