ToolShell
Ricerche sulle CyberMinacce

Vulnerabilità “ToolShell” di SharePoint sfruttate attivamente in rete

Sophos X-Ops rileva attacchi in corso su diverse infrastrutture di clienti
Scritto da , ,
Threat Research featured MDR Patch Tuesday SharePoint Sophos X-Ops toolshell


Il 18 luglio 2025, gli analisti MDR (Managed Detection and Response) di Sophos hanno osservato un aumento di attività dannose rivolte a istanze SharePoint on-premise, inclusa l’esecuzione di comandi PowerShell malevoli su più infrastrutture.
Ulteriori analisi hanno determinato che questi eventi sono molto probabilmente il risultato di un impiego attivo e malevolo di un exploit che sfrutta “ToolShell”.

Aggiorneremo questa pagina con l’evolversi degli eventi e della loro comprensione, incluse indicazioni sulle minacce e sulla rilevazione.

Aggiornamento 22-07-2025 ore 21:48 UTC: confermata la prima attività di sfruttamento il 17 luglio.

Aggiornamento 22-07-2025 ore 16:23 UTC: informazioni sul primo caso noto di sfruttamento (“Cosa abbiamo visto”) e ulteriori dettagli/chiarimenti sull’attività dell’attacco; ulteriori indicazioni sulle protezioni da adottare (“Cosa fare”), e rilascio di un proof-of-concept pubblico (“Cosa succede ora”).

“ToolShell” si riferisce complessivamente allo sfruttamento concatenato di due vulnerabilità di SharePoint: CVE-2025-49704 e CVE-2025-49706.
L’exploit ToolShell è stato presentato durante l’evento Pwn2Own di Berlino nel maggio 2025, e Microsoft ha rilasciato patch per entrambe le vulnerabilità nel Patch Tuesday di luglio.

Tuttavia, gli attori delle minacce stanno effettivamente usando ToolShell per sfruttare una nuova vulnerabilità 0-day, che ha portato alla pubblicazione di due nuovi CVE-ID: CVE-2025-53770 e CVE-2025-53771.

Sophos MDR ha contattato tutte le vittime conosciute, ma poiché queste vulnerabilità sono attivamente sfruttate, invitiamo gli utenti ad applicare quanto prima le patch pertinenti sui server SharePoint on-premise
(secondo Microsoft, SharePoint Online in Microsoft 365 non è interessato).

Continua a leggere l’articolo.

L’autore

Paul Jaramillo is an extremely passionate, technical, and results-oriented security professional with over 10 years of incident response and 15 years of IT experience. Previously working at Splunk, CrowdStrike, and the US DoE, Paul is currently Director of Threat Hunting & Intelligence at Sophos. He has a long-distinguished record of reducing enterprise risk and guiding organizations to an improved security posture. Some highlights include breaking into a 2-factored VPN as a pen tester, successfully investigating an insider threat case across the globe as a forensic examiner, and hunting and ejecting nation-state adversaries from corporate and government networks.

L’autore

Colin is a Threat Intelligence Analyst for the Sophos Managed Detection and Response (MDR) team, focusing on threat actor identification, incident response and working alongside detection engineers to address emerging threats. In past roles he worked in the financial sector performing internal and external penetration testing.

Jordon Olness
L’autore

Jordon Olness is a threat intelligence analyst with Sophos Managed Detection and Response. His more than seven years in the industry includes roles in cybersecurity operations and threat hunting. In his current role, Jordon has focused on analyzing malware for threat intelligence value and devising new methods of tracking adversary infrastructure. Jordon loves to visit and explore the Rocky Mountains.

Leggi articoli simili