CVE-2026-40357

IMMEDIATE ACTIONS:

1. Inventory all SharePoint Server deployments (2016, 2019, subscription editions) across your organization

2. Restrict network access to SharePoint servers using firewall rules - limit to trusted internal networks only

3. Implement strict access controls and monitor user authentication logs for suspicious login patterns

4. Disable remote access to SharePoint if not operationally critical

5. Review and revoke unnecessary user permissions, especially for service accounts



COMPENSATING CONTROLS (until patch available):

6. Deploy Web Application Firewall (WAF) rules to detect and block malicious serialized object patterns

7. Implement network segmentation to isolate SharePoint servers from untrusted networks

8. Enable enhanced logging and monitoring for SharePoint object deserialization events

9. Monitor for suspicious PowerShell execution and .NET assembly loading on SharePoint servers

10. Implement application-level input validation and sanitization where possible



DETECTION RULES:

- Monitor for unusual serialized object patterns in HTTP requests to SharePoint endpoints

- Alert on unexpected code execution from SharePoint application pool processes

- Track modifications to SharePoint configuration and custom solutions

- Monitor for suspicious outbound connections from SharePoint servers



PATCHING:

- Subscribe to Microsoft security advisories for patch availability

- Prepare patch deployment procedures for immediate application once available

- Test patches in non-production environments first

الإجراءات الفورية:

1. قم بحصر جميع نشرات خادم SharePoint (2016 و2019 والإصدارات المشتركة) عبر مؤسستك

2. قيد الوصول إلى شبكة خوادم SharePoint باستخدام قواعد جدار الحماية - حصر الوصول على الشبكات الداخلية الموثوقة فقط

3. طبق ضوابط وصول صارمة وراقب سجلات المصادقة للكشف عن أنماط تسجيل دخول مريبة

4. عطل الوصول البعيد إلى SharePoint إذا لم يكن ضرورياً تشغيلياً

5. راجع وألغِ أذونات المستخدم غير الضرورية، خاصة حسابات الخدمة



الضوابط البديلة (حتى توفر التصحيح):

6. نشر قواعد جدار تطبيقات الويب (WAF) للكشف عن أنماط الكائنات المسلسلة الضارة وحجبها

7. طبق تقسيم الشبكة لعزل خوادم SharePoint عن الشبكات غير الموثوقة

8. فعّل السجلات المحسّنة والمراقبة لأحداث فك تسلسل كائنات SharePoint

9. راقب تنفيذ PowerShell المريب وتحميل تجميعات .NET على خوادم SharePoint

10. طبق التحقق من صحة المدخلات على مستوى التطبيق والتطهير حيث أمكن



قواعد الكشف:

- راقب أنماط الكائنات المسلسلة غير العادية في طلبات HTTP إلى نقاط نهاية SharePoint

- أصدر تنبيهات عند تنفيذ كود غير متوقع من عمليات تجمع تطبيقات SharePoint

- تتبع التعديلات على إعدادات SharePoint والحلول المخصصة

- راقب الاتصالات الصادرة المريبة من خوادم SharePoint



التصحيح:

- اشترك في استشارات أمان Microsoft لتوفر التصحيحات

- جهز إجراءات نشر التصحيحات للتطبيق الفوري عند توفره

- اختبر التصحيحات في بيئات غير الإنتاج أولاً