SharePoint On-Premises Dieksploitasi: Pencegahan & Pemulihan

Ringkasan Insiden

CISA memperingatkan bahwa kerentanan pada Microsoft SharePoint Server on-premises yang masih didukung sedang dieksploitasi untuk mendapatkan akses tidak sah. Risiko yang disorot mencakup remote code execution dan potensi aktivitas lanjutan setelah penyerang memperoleh pijakan awal.

Dalam briefing yang dirujuk, kerentanan yang disebut meliputi CVE-2026-32201, CVE-2026-45659, dan CVE-2026-56164. CISA juga menambahkan kerentanan terkait ke Known Exploited Vulnerabilities (KEV) Catalog pada 16 Juli 2026.

Sumber utama: “SharePoint Server On-Premises Vulnerabilities Exploited for Unauthorized Access”, penerbit Cybersecurity and Infrastructure Security Agency (CISA), URL: https://www.cisa.gov/news-events/alerts/2026/07/14/sharepoint-server-premises-vulnerabilities-exploited-unauthorized-access, tanggal publish: 14 Juli 2026.

Artikel ini tidak membahas detail exploit teknis karena brief yang digunakan tidak menyediakan detail tersebut. Fokusnya adalah langkah praktis untuk mengurangi risiko dan memulihkan insiden secara aman.

Mengapa Ini Penting untuk Bisnis Indonesia

Masih banyak organisasi di Indonesia yang menjalankan aplikasi collaboration, document management, atau portal internal secara on-premises. SharePoint sering terhubung dengan dokumen bisnis, akun domain, workflow internal, hingga integrasi dengan sistem lain.

Jika server seperti ini terekspos atau tidak dikelola ketat, dampaknya bisa serius:

Kebocoran dokumen: kontrak, data pelanggan, dokumen keuangan, atau dokumen internal bisa diakses pihak tidak berwenang.
Kompromi akun: kredensial atau token yang terkait dengan layanan internal dapat disalahgunakan.
Gangguan operasi: portal internal, approval workflow, atau repositori dokumen bisa tidak tersedia.
Pivot ke sistem lain: setelah masuk ke SharePoint, penyerang dapat mencoba bergerak ke server, database, atau layanan internal lain.

Untuk UMKM, risikonya bukan hanya teknis. Downtime beberapa jam saja dapat menghambat operasional, menunda pengiriman pekerjaan, atau memicu kehilangan kepercayaan pelanggan.

Prioritas Pencegahan

1. Patch dan update resmi

Segera cek advisory vendor dan terapkan patch/update resmi untuk versi SharePoint Server yang digunakan. Jangan mengandalkan mitigasi sementara sebagai pengganti patch permanen, kecuali memang direkomendasikan oleh vendor sebagai langkah darurat.

Pastikan proses patch tidak hanya dilakukan di server produksi, tetapi juga dicatat: versi sebelum patch, versi setelah patch, waktu perubahan, dan siapa yang mengeksekusi.

2. Inventaris versi dan exposure

Buat daftar cepat:

Server SharePoint yang aktif.
Versi dan build yang berjalan.
Apakah server dapat diakses dari internet.
Integrasi dengan Active Directory, database, email, atau aplikasi lain.
Akun service yang digunakan.

Tanpa inventaris, tim IT akan sulit memastikan mana yang sudah aman dan mana yang masih berisiko.

3. Batasi akses internet

Jika SharePoint tidak wajib dibuka ke publik, jangan biarkan langsung terekspos internet. Gunakan pendekatan seperti:

Akses melalui VPN.
Allowlist IP untuk kantor, partner, atau koneksi tertentu.
Reverse proxy atau gateway dengan kontrol tambahan.
Pembatasan akses administratif hanya dari jaringan manajemen.

Prinsipnya sederhana: semakin sedikit permukaan serangan, semakin kecil peluang eksploitasi.

4. Terapkan MFA dan least privilege

Aktifkan multi-factor authentication (MFA) untuk akun yang relevan, terutama akun admin dan akun dengan akses ke dokumen sensitif.

Terapkan juga least privilege:

Hindari penggunaan akun admin untuk pekerjaan harian.
Tinjau ulang akun service.
Hapus akun lama atau tidak digunakan.
Batasi permission library, site, dan folder sesuai kebutuhan bisnis.

5. Segmentasi jaringan

Jangan tempatkan SharePoint, database, domain controller, dan sistem kritikal lain dalam zona jaringan yang terlalu bebas saling mengakses.

Segmentasi membantu membatasi dampak jika satu server berhasil dikompromikan. Minimal, pisahkan akses antara zona publik, aplikasi, database, dan manajemen.

6. Backup offline atau immutable

Pastikan backup tersedia dan dapat dipulihkan. Untuk menghadapi kompromi serius, backup sebaiknya:

Disimpan secara offline atau immutable.
Memiliki retensi yang cukup.
Diuji restore secara berkala.
Tidak hanya mencakup file, tetapi juga konfigurasi penting dan database yang relevan.

Backup yang tidak pernah diuji sering kali baru terlihat bermasalah saat insiden sudah terjadi.

7. EDR, WAF, dan monitoring

Jika relevan dengan arsitektur, gunakan EDR pada server dan WAF di depan aplikasi. Keduanya bukan pengganti patch, tetapi dapat membantu mendeteksi dan menahan aktivitas mencurigakan.

Monitoring yang perlu diprioritaskan:

Aktivitas login gagal dan berhasil yang tidak biasa.
Login dari lokasi, jam, atau akun yang tidak lazim.
Proses baru yang berjalan di server.
Perubahan file aplikasi.
Pembuatan account, service, scheduled task, atau rule baru.
Aktivitas akses dokumen dalam volume tidak normal.

8. Siapkan incident response plan

Sebelum insiden terjadi, tentukan siapa melakukan apa. Minimal siapkan:

Kontak tim IT, security, manajemen, legal, dan vendor.
Prosedur isolasi server.
Prosedur pengumpulan log dan bukti.
Alur komunikasi internal dan eksternal.
Kriteria kapan sistem boleh dipulihkan.

Rencana sederhana yang jelas lebih berguna daripada dokumen panjang yang tidak pernah diuji.

Jika Diduga Terkena: Langkah Remediation

Saat ada indikasi kompromi, hindari tindakan panik. Jangan langsung menghapus file mencurigakan atau mematikan server tanpa rencana forensik, karena tindakan tersebut dapat menghilangkan bukti penting.

Langkah yang disarankan:

Isolasi server secara terkontrol
Putuskan akses jaringan yang tidak diperlukan, terutama dari internet dan ke sistem internal sensitif. Jika memungkinkan, lakukan isolasi di level network agar bukti di server tidak berubah drastis.
Simpan bukti dan log
Kumpulkan log aplikasi, web server, sistem operasi, authentication, EDR, firewall, VPN, dan proxy. Catat waktu kejadian, akun terkait, serta perubahan yang ditemukan.
Rotasi credential dari perangkat bersih
Ganti password akun admin, akun service, dan akun yang dicurigai terdampak. Lakukan dari perangkat yang diyakini bersih, bukan dari server yang sedang dicurigai kompromi.
Periksa persistence
Cari indikasi mekanisme bertahan seperti webshell, scheduled task, service baru, account baru, perubahan permission, rule firewall, atau script yang tidak dikenal.
Patch setelah containment
Terapkan patch resmi setelah lingkungan cukup terkendali. Patch penting, tetapi jika dilakukan sebelum memahami kompromi, persistence yang sudah ditanam bisa tetap aktif.
Restore dari backup tepercaya
Jika integritas server diragukan, pulihkan dari backup yang diyakini bersih. Jangan restore dari backup yang dibuat setelah indikasi kompromi muncul tanpa verifikasi.
Validasi integritas
Periksa versi, konfigurasi, permission, akun, dan koneksi ke sistem lain. Pastikan tidak ada perubahan tidak sah yang tertinggal.
Lakukan threat hunting
Cari tanda aktivitas lanjutan di server lain, terutama domain controller, file server, database, email, dan sistem yang terhubung ke SharePoint.

Checklist Cepat untuk 24 Jam Pertama

Identifikasi semua SharePoint Server on-premises.
Cek versi dan status patch.
Batasi akses internet atau pindahkan akses melalui VPN/allowlist.
Aktifkan atau verifikasi MFA untuk akun penting.
Review akun admin dan akun service.
Pastikan backup offline/immutable tersedia.
Aktifkan monitoring login, proses, service, task, dan perubahan file.
Siapkan jalur eskalasi incident response.
Jika ada indikasi kompromi, isolasi server dan simpan bukti sebelum perubahan besar.

Governance dan Security sebagai Kebiasaan Operasional

Bagi profesional IT dan pemilik bisnis, persiapan lebih awal adalah langkah terbaik. Mulailah dari inventaris aset, patch management, kontrol akses, backup, monitoring, dan incident response. Ketika insiden terjadi, organisasi yang sudah memiliki dasar ini akan jauh lebih siap dibanding yang baru bergerak setelah sistem bermasalah.

Referensi

CISA — “SharePoint Server On-Premises Vulnerabilities Exploited for Unauthorized Access” — Cybersecurity and Infrastructure Security Agency — https://www.cisa.gov/news-events/alerts/2026/07/14/sharepoint-server-premises-vulnerabilities-exploited-unauthorized-access — Published: 14 Juli 2026.
CISA — Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog — penambahan kerentanan terkait disebut pada 16 Juli 2026.