O CVE-2026-58644 é uma falha crítica de execução remota de código no Microsoft SharePoint Server, com pontuação CVSS 9,8 e marcação oficial de exploração ativa antes da correção liberada em 14 de julho de 2026. A CISA adicionou o CVE ao catálogo Known Exploited Vulnerabilities em 16 de julho e fixou o prazo de remediação em 19 de julho de 2026 para agências federais americanas, exigindo ainda triagem forense. Todos os servidores locais suportados — SharePoint Enterprise Server 2016, SharePoint Server 2019 e SharePoint Server Subscription Edition — permanecem vulneráveis até receber o update acumulado de julho. O SharePoint Online, hospedado na nuvem pela Microsoft, não é afetado por essa classe de falha. O perigo vem do vetor de ataque: o golpe trafega pela rede, dispensa senha, conta ou clique do usuário e abre caminho para assumir o servidor inteiro. Quem administra ambientes Microsoft já precisou reagir a brechas semelhantes, como a falha zero-click do Outlook corrigida no Patch Tuesday de maio de 2026.

Como a falha de desserialização age

A raiz técnica é a desserialização de dados não confiáveis, mapeada como CWE-502. Quando o SharePoint reconstrói objetos a partir de entrada controlada por um invasor, classes e métodos inesperados podem ser disparados durante a reconstrução, transformando dados aparentes em instruções executadas pelo processo do servidor. O vetor CVSS oficial — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — descreve ataque pela rede, de baixa complexidade, sem privilégios exigidos e sem interação do usuário, com impacto alto em confidencialidade, integridade e disponibilidade. Um servidor voltado para a internet torna-se alvo de valor porque o processo de trabalho do SharePoint costuma ter acesso a documentos corporativos, contas de serviço, diretório integrado e bancos de dados. Esse acesso permite instalar web shells, roubar material de configuração e iniciar movimento lateral para outros sistemas internos.

A cadeia de exploração confirmada

A entrada no KEV não é um mero aviso. O catálogo da CISA reúne somente falhas com evidência concreta de uso real, e a própria ficha classifica a exploração como ativa, o impacto técnico como total e a falha como automatizável. A revisão do aviso da Microsoft, que passou de “sem exploração conhecida” para “exploração detectada antes do patch”, confirma a janela de zero-day: havia exploit funcionando quando nenhuma correção existia no mundo. O SharePoint já vinha sob pressão da mesma classe de bug. Em julho de 2025, a CVE-2025-53770 — também de desserialização, também com CVSS 9,8 e também em servidores locais — foi explorada em massa na campanha batizada de ToolShell. Nela, invasores instalaram web shells e roubaram chaves criptográficas para manter persistência mesmo após a remoção do shell. A recorrência mostra que atacantes dominam essa superfície e reagem rápido a cada nova brecha divulgada.

Assinaturas de detecção da Microsoft

Quem precisa ganhar tempo enquanto atualiza pode ligar a Antimalware Scan Interface e o Microsoft Defender. A Microsoft publicou assinaturas dedicadas à caça da exploração: a Exploit:Script/SuspSignoutReqBody.A inspeciona o corpo de requisições contra o SharePoint Server Subscription Edition e bloqueia tentativas observadas. Já a assinatura Exploit:Script/ToolPaneAuthBypass.A atua na análise de cabeçalhos e vale para as edições 2016, 2019 e Subscription Edition. A ficha do KEV reforça o dever de defesa: além de aplicar as correções do fabricante, os órgãos devem cumprir a diretiva BOD 26-04. A entrada exige ainda a triagem forense recomendada pela CISA e a avaliação da exposição à internet de cada ativo antes de considerar o caso encerrado. Sem isso, um invasor já instalado continua no ambiente mesmo depois do patch. Esses alertas ajudam a detectar a carga maliciosa antes da execução, especialmente em servidores ainda sem o patch.

Passos de correção e contenção

A meta operacional é alcançar o build corrigido em todos os servidores do farm, não apenas no front-end visível. Aplique o update acumulado de julho de 2026 para o SharePoint em cada ramificação suportada e confirme que a configuração do farm concluiu em todos os nós. A tabela a seguir resume o build mínimo seguro por edição afetada:

Edição afetada Build mínimo seguro
SharePoint Enterprise Server 2016 16.0.5556.1005 ou superior
SharePoint Server 2019 16.0.10417.20153 ou superior
SharePoint Server Subscription Edition 16.0.19725.20384 ou superior

Se a atualização não puder ser feita de imediato, isole o SharePoint da internet e restrinja o acesso à Administração Central. O update acumulado do SharePoint é cumulativo, de modo que uma versão mais nova corretamente instalada também contém a correção da falha. A verificação do build deve cobrir servidores de aplicação e nós internos, e não apenas as máquinas voltadas para a web. Priorize os farms voltados para a internet, seguidos pelos servidores acessíveis a parceiros, VPNs e segmentos internos amplos.

Caçar sinais de comprometimento

Servidores expostos podem ter sido invadidos antes do patch, e a simples aplicação da correção não elimina um invasor já instalado. Por isso, antes de rotacionar qualquer credencial ou chave, faça a caça a artefatos: procure arquivos .aspx ou .ashx recém-criados em diretórios virtuais do SharePoint e em c:\inetpub\wwwroot. Monitore também processos filhos suspeitos do w3wp.exe, como cmd.exe ou powershell.exe, e revise requisições POST anômalas para páginas internas. Só depois de confirmar a limpeza rotacione as chaves do IIS e do ASP.NET, para que material roubado não permita forjar tokens ViewState. Mantenha a Antimalware Scan Interface ativa em todos os pools de aplicativo do SharePoint e cruze os alertas do Defender com os logs do IIS. O mesmo princípio de defesa em profundidade vale para outras plataformas corporativas expostas, como o Apache Tomcat, onde falhas de autenticação também exigem auditoria pós-patch. Documente cada instância corrigida e mantenha o rastro para responder a auditorias de conformidade ou a questionamentos de autoridades de proteção de dados.

Fontes