Bypass de JWT no SharePoint vira RCE sem autenticação

A Microsoft corrigiu em 14 de julho de 2026 o CVE-2026-55040, um bypass de autenticação por tokens JWT no SharePoint Server que permite a um invasor remoto e sem credenciais assumir a identidade de qualquer usuário da plataforma, inclusive administradores de site. A falha recebeu nota CVSS 3.1 de 9,1 (Crítica) e classificação CWE-1390, autenticação fraca. Descoberta pelo pesquisador Stephen Fewer, da Rapid7, e demonstrada na competição Pwn2Own Berlin, ela foi encadeada com uma falha separada de execução remota de código para produzir comprometimento sem qualquer senha. O elo de execução de código ainda não tem correção: a Microsoft confirmou que o aplicará no ciclo de atualizações de agosto de 2026. Aplicar as atualizações de julho quebra a cadeia ao neutralizar o bypass, mas quem mantém uma instância local exposta deve tratar o conjunto como RCE pré-autenticação até a chegada do patch complementar. A severidade CVSS 9,1 do bypass, somada às falhas de desserialização CVSS 9,8 corrigidas no mesmo Patch Tuesday, coloca os farms locais de SharePoint numa janela de risco curta e concreta.

Bypass JWT sem credenciais

A vulnerabilidade reside em vários problemas no pipeline de validação de tokens JWT do SharePoint, conforme confirmado pela própria Rapid7, responsável pela descoberta e pela divulgação coordinada com a Microsoft. Para explorá-la, o atacante precisa conhecer previamente o usuário que deseja personificar — requisito alcançável por enumeração do Security ID no Active Directory ou pelo User Principal Name, que tem formato de endereço de e-mail. Com isso em mãos, forja tokens JWT válidos e opera no site alvo como se fosse o usuário legítimo, inclusive como administrador, abrindo caminho para abusar toda a superfície autenticada do produto. A Microsoft chegou a classificar inicialmente o defeito como de severidade média e só o revisou para Crítica após a publicação, um lembrete de que a nota do fornecedor deve ser tratada como piso, nunca como teto.

Encadeamento até execução remota

O valor real do bypass aparece quando ele é combinado com as falhas de desserialização corrigidas no mesmo Patch Tuesday. O CVE-2026-50522 e o CVE-2026-58644, ambos CWE-502 com CVSS 9,8, permitem execução de código a partir de objetos serializados não confiáveis enviados ao servidor. Sozinhos, exigiam uma sessão autenticada; precedidos pelo bypass de JWT, passam a funcionar sem qualquer credencial, o que eleva o conjunto à condição de RCE pré-autenticação. A Rapid7 demonstrou essa combinação no palco do Pwn2Own Berlin, entregando à Microsoft uma prova de conceito funcional. Curiosamente, o advisory inicial da Microsoft para o CVE-2026-50522 trazia a maturidade de exploração como “desconhecida”, mesmo com um exploit exibido em palco de competição. Quatro falhas adicionais do SharePoint — CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 e a própria CVE-2026-58644 — já estão confirmadas como exploradas ativamente e listadas no catálogo KEV da CISA, prova de que os atacantes dispõem de múltiplas técnicas distintas contra a plataforma. Cada uma dessas falhas por si só já justificava correção imediata; o fato de compartilharem produto, ciclo e janela de exploração concentra o risco num único alvo de alto valor.

Persistência por machine key

Mesmo após a correção, a cadeia deixa uma herança difícil de remover. O alerta de endurecimento emitido pela CISA em 14 de julho de 2026 confirma que a exploração envolveu roubo das machine keys do IIS — o material criptográfico que o SharePoint usa para validar e, onde configurado, criptografar o ViewState do ASP.NET. Com essas chaves, o invasor forja requisições confiáveis e reentra num servidor totalmente corrigido, mantendo persistência por meio de técnicas de desserialização. A particularidade que amplia o estrago é estrutural: todos os servidores front-end de um farm de SharePoint compartilham a mesma machine key, de modo que o roubo de uma única chave compromete o farm inteiro. É por isso que a CISA orienta caçar e remediar artefatos de invasão antes de rotacionar as machine keys, e não depois. Como cada máquina do farm confia na mesma chave, um token forjado válido num servidor é válido em todos, e a simples reinstalação do patch não invalida os tokens já emitidos com a chave roubada. A regeneração das chaves é etapa obrigatória após qualquer comprometimento confirmado.

Versões afetadas e exposição

As falhas atingem exclusivamente instalações locais do SharePoint Server: Subscription Edition, Server 2019 e Enterprise Server 2016. O SharePoint Online, gerenciado pela Microsoft na nuvem, não é afetado por esta classe de vulnerabilidade. Segundo levantamento da Censys, cerca de 1.500 hosts na internet executam as edições autogerenciadas, predominantemente o SharePoint 2019, com frações menores de 2016 e Subscription Edition; a maior parte fica nos Estados Unidos, seguida de Alemanha, França e Canadá. Parte expressiva desses hosts roda em infraestrutura de nuvem — AWS, Google Cloud, OVH e DigitalOcean —, mas a responsabilidade pelo patch segue sendo do cliente. Para o SharePoint 2019 e o Subscription Edition, o número de build reportado no cabeçalho HTTP não muda com a revisão do patch, o que impede confirmar o status apenas por esse campo. Quem opera versões antigas migra sob pressão de exploração ativa.

O que fazer agora

Organizações com SharePoint local devem priorizar o patch de todas as falhas do ciclo de julho, não apenas as marcadas como exploradas. O alerta da CISA determina que as organizações ativem a integração AMSI em todas as aplicações web do SharePoint e bloqueiem o acesso externo à Administração Central — medidas que acompanham o patch, não o substituem. O roteiro prático é direto:

aplicar as atualizações e verificar o número de build do farm;
executar o PSConfig conforme orientação da Microsoft;
manter os servidores fora da internet aberta ou atrás de um proxy reverso na camada 7;
caçar artefatos de invasão antes de rotacionar as machine keys.

Como detecção de alta fidelidade, alertar sempre que o processo w3wp.exe gerar cmd.exe ou powershell.exe — um servidor web nunca deveria apresentar esse comportamento. Em ambientes integrados ao Active Directory, o controle de identidade com autenticação resistente a phishing reduz o impacto do roubo de credenciais, embora não substitua a correção do defeito de validação de tokens JWT. O contexto completo do Patch Tuesday de julho e a ordem de correção por risco estão detalhados em análise dedicada ao ciclo de atualizações.