ToolShell adalah rangkaian celah eksekusi kode di SharePoint Server on-premises yang dieksploitasi massal sejak Juli 2025 dan memicu seri zero-day susulan sepanjang 2026. Pelajaran terpentingnya: setelah patch, kunci mesin ASP.NET yang sudah dicuri harus dirotasi, karena penyerang bisa kembali tanpa celah apa pun. SharePoint Online tidak terdampak.
Ringkasan ToolShell dan celah susulannya
- CVE awal: CVE-2025-49706 (spoofing) dan CVE-2025-49704 (eksekusi kode), ditambal pada Patch Tuesday Juli 2025. Dua celah turunan yang melewati patch Juli, CVE-2025-53770 (eksekusi kode, deserialisasi tidak aman, CVSS 9.8) dan CVE-2025-53771 (spoofing akibat path traversal, CVSS 6.5), mengancam server yang sudah ditambal; Microsoft menyatakan exploit untuk CVE-2025-53770 sudah beredar di lapangan.
- Produk terdampak: SharePoint Server Subscription Edition, 2019, dan 2016 on-premises. Versi 2010 dan 2013 sudah end-of-life tetapi tetap tercantum terdampak oleh Qualys.
- Status eksploitasi: CVE-2025-53770 masuk KEV pada 20 Juli 2025; CVE-2025-49706 dan 49704 pada 22 Juli 2025. Katalog KEV mencatat ketiganya dipakai dalam kampanye ransomware.
- Perbaikan: pembaruan darurat Microsoft pada 19 Juli 2025.
Skor di atas adalah skor CVSS 3.1 dari Microsoft; penilai lain dapat berbeda, misalnya Qualys mencantumkan 6.3 untuk CVE-2025-53771. Cara membacanya dibahas di Level Kerentanan dan Skor CVSS.
Apa yang terjadi pada eksploitasi ToolShell
Rangkaian celah ini menggabungkan pembobolan autentikasi dengan deserialisasi tidak aman. Intinya, penyerang tanpa login dapat mencapai konten SharePoint dan menjalankan kode di server. Yang membuatnya sangat sulit dibersihkan adalah pencurian kunci mesin ASP.NET: dengan kunci itu, penyerang dapat memalsukan muatan bertanda tangan yang diterima server sebagai sah, sehingga akses bertahan bahkan setelah patch dipasang.
Menurut laporan BleepingComputer, Check Point menemukan tanda eksploitasi paling awal pada 7 Juli 2025, dan Eye Security melihat serangan zero-day pada 18 Juli. Eye Security menyatakan kepada BleepingComputer bahwa sedikitnya 54 organisasi telah dikompromikan, dan Check Point melaporkan puluhan target di sektor pemerintahan, telekomunikasi, dan perangkat lunak. Microsoft mengaitkan eksploitasi dengan dua aktor negara Tiongkok, Linen Typhoon dan Violet Typhoon, serta aktor berbasis Tiongkok Storm-2603. Atribusi ini berasal dari laporan vendor, bukan dakwaan pemerintah. CISA juga memperbarui peringatannya pada 24 Juli 2025 dengan rincian penyebaran ransomware dan web shell baru.
Rotasi kunci mesin setelah patch ToolShell
Panduan CISA menyebutkan urutan yang perlu diikuti administrator SharePoint on-premises:
- Terapkan pembaruan keamanan Microsoft untuk versi SharePoint yang Anda jalankan.
- Rotasi kunci mesin ASP.NET, terapkan pembaruan, lalu rotasi lagi, dan jalankan iisreset.exe agar IIS memuat kunci baru. Hapus lebih dulu entri modul berbahaya di applicationHost.config dan web.config, karena jika tidak, entri itu akan dimuat ulang.
- Aktifkan AMSI pada SharePoint dan pasang antivirus di semua server SharePoint. Jika AMSI tidak bisa diaktifkan, putuskan produk yang menghadap publik dari internet sampai mitigasi resmi tersedia.
- Pasang EDR untuk menangkap aktivitas pasca-eksploitasi.
- Cari jejak, misalnya permintaan POST ke halaman ToolPane.aspx dengan referrer SignOut.aspx, serta web shell di direktori layout. Payload DLL sulit terdeteksi, jadi inspeksi manual tetap perlu.
Bila server sudah menjadi target sebelum patch, anggap kunci mesin telah bocor. Rotasi tanpa membersihkan artefak pencuri kunci tidak cukup, seperti ditegaskan CISA pada gelombang 2026.
SharePoint on-premises versus SharePoint Online
Semua celah ToolShell hanya menyasar SharePoint Server yang Anda kelola sendiri. SharePoint Online di Microsoft 365 tidak terdampak, karena Microsoft yang mengelola infrastruktur dan patch-nya. Perbedaan ini penting bagi organisasi yang masih menjalankan farm on-premises: seluruh tanggung jawab patch, rotasi kunci, dan pemantauan ada pada tim Anda. Server yang menghadap internet, terutama versi lama yang sudah tidak didukung, adalah sasaran paling rentan; matikan atau pisahkan dari internet.
Gelombang susulan SharePoint 2026
Tenable mencatat serangkaian celah SharePoint pada 2026 yang menyasar produk yang sama:
- CVE-2026-32201 (spoofing, CVSS 6.5): ditambal April 2026, KEV 14 April 2026.
- CVE-2026-45659 (eksekusi kode via deserialisasi, CVSS 8.8, perlu autentikasi): KEV 1 Juli 2026.
- CVE-2026-56164 (peningkatan hak akses, CVSS 9.8 menurut NVD dan 5.3 menurut Microsoft): ditambal 14 Juli 2026, KEV pada tanggal yang sama.
- CVE-2026-58644 (deserialisasi, CVSS 9.8): ditambal 14 Juli 2026; Microsoft menandainya dieksploitasi pada 15 Juli, dan CISA memasukkannya ke KEV pada 16 Juli 2026.
Menurut CISA yang dikutip Tenable, penyerang menggabungkan tiga celah pertama untuk masuk, mengambil kunci mesin IIS, memakai deserialisasi untuk persistensi, lalu memasang malware. Per 16 Juli 2026 belum ada pelaku yang diatribusikan. Microsoft menyediakan signature Defender untuk deteksi. Pola ini menunjukkan bahwa SharePoint on-premises perlu diperlakukan sebagai sasaran yang terus-menerus, dan tinjau juga konsep zero-day untuk memahami mengapa tambalan sering datang setelah eksploitasi dimulai.
Linimasa singkat ToolShell
- Pwn2Own Berlin: peneliti Viettel Cyber Security pertama kali mendemonstrasikan celah awal, menurut BleepingComputer.
- 8 Juli 2025: Patch Tuesday Juli memuat perbaikan untuk CVE-2025-49706 dan CVE-2025-49704.
- 7 dan 18 Juli 2025: Check Point melihat tanda awal eksploitasi, lalu Eye Security melihat serangan zero-day.
- 19-20 Juli 2025: Microsoft merilis pembaruan darurat; CVE-2025-53770 masuk KEV pada 20 Juli.
- 22 Juli 2025: CVE-2025-49706 dan 49704 masuk KEV; Microsoft menautkan eksploitasi ke aktor yang disebutkan.
- 6 Agustus 2025: CISA merilis laporan analisis malware untuk enam file terkait.
Bagi tim yang memelihara SharePoint on-premises, linimasa ini menunjukkan bahwa celah yang tampaknya sudah ditambal dapat kembali menjadi zero-day dalam hitungan hari. Karena itu, rencana respons harus mencakup rotasi kunci dan pemeriksaan kompromi, bukan hanya pemasangan patch.
Pertanyaan yang Sering Diajukan
Apakah SharePoint Online terdampak ToolShell?
Tidak. Menurut Microsoft, SharePoint Online di Microsoft 365 tidak terdampak ToolShell. Daftar produk terdampak untuk ToolShell maupun gelombang susulan 2026 hanya berisi SharePoint Server on-premises (Subscription Edition, 2019, 2016, dan untuk ToolShell juga versi lama yang sudah tidak didukung).
Mengapa patch saja tidak cukup?
Karena kunci mesin ASP.NET yang sudah dicuri tetap memungkinkan pemalsuan permintaan bertanda tangan. Setelah patch, kunci harus dirotasi dan artefak penyerang dibersihkan.
Bagaimana cara menentukan prioritas patch SharePoint?
Mulai dari server yang menghadap internet dan yang tercantum di katalog CISA KEV, lalu ikuti pendekatan patch management berbasis risiko.
Kesimpulan
ToolShell dan penerusnya menunjukkan bahwa kompromi server kolaborasi bisa bertahan setelah patch bila kunci kriptografinya sudah dicuri. Terapkan pembaruan, rotasi kunci mesin dua kali dengan urutan yang benar, aktifkan AMSI dan EDR, dan jauhkan server on-premises dari internet. Untuk membantu menilai kesiapan organisasi Anda, tim Linuxhackingid menyediakan layanan asesmen keamanan. Rujukan: panduan CISA untuk SharePoint dan laporan BleepingComputer.
Every article is reviewed by the practice lead who ran the work before it is published.