A CISA confirmou a exploração ativa de três vulnerabilidades do SharePoint Server on-premises, registradas no catálogo Known Exploited Vulnerabilities entre abril e julho de 2026. As falhas são usadas em conjunto para invadir instalações, executar código remotamente e implantar malware em farms inteiros do produto.

O alerta descreve uma campanha coordenada em que atacantes combinam spoofing, autenticação ausente e desserialização de dados não confiáveis para comprometer servidores alcançáveis pela rede.

A CVE-2026-58644 foi adicionada ao KEV em 16 de julho de 2026, elevando para quatro o número de falhas do SharePoint com exploração confirmada no ano. A CISA atribui aos responsáveis a avaliação da exposição de cada ativo à internet e o cumprimento das diretrizes de correção da BOD 26-04.

Três falhas formam a cadeia

A CVE-2026-32201, registrada pela Microsoft como validação imprópria de entrada (CWE-20), permite que um atacante remoto não autenticado realize spoofing pela rede e foi adicionada ao KEV em 14 de abril de 2026.

Essa falha abre a porta inicial ao permitir que o invasor se passe por um usuário legítimo diante do servidor, contornando controles de identidade sem credenciais válidas. A cadeia típica começa pelo spoofing, avança para execução de código e culmina na elevação de privilégios.

A CVE-2026-45659 é uma vulnerabilidade de desserialização de dados não confiáveis (CWE-502) que permite a um atacante autorizado executar código remotamente pela rede, com pontuação CVSS 8,8 atribuída pela CNA Microsoft.

A terceira peça da cadeia, CVE-2026-56164, explora a ausência de autenticação em uma função crítica do SharePoint (CWE-306), permitindo que um atacante não autenticado eleve privilégios remotamente, e entrou no KEV em 14 de julho de 2026.

A quarta falha amplia o raio

A CVE-2026-58644, também de desserialização de dados não confiáveis (CWE-502), recebeu pontuação-base CVSS 9,8 da Microsoft, com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando ataque pela rede sem privilégios prévios nem interação do usuário.

A CISA adicionou essa falha ao KEV em 16 de julho de 2026, apenas dois dias após o Patch Tuesday. O bloco CISA ADP marca a exploração como ativa, a automação como possível e o impacto técnico como total. A combinação das quatro falhas cria múltiplos caminhos de invasão, já que cada uma explora um mecanismo distinto do produto.

CVE Tipo CVSS KEV
CVE-2026-32201 Spoofing (CWE-20) 6,5 14/04/2026
CVE-2026-45659 Desserialização RCE 8,8 01/07/2026
CVE-2026-56164 Elevação de privilégio 9,8 14/07/2026
CVE-2026-58644 Desserialização RCE 9,8 16/07/2026

Para detalhes sobre versões afetadas e prazo de correção, consulte a análise específica da CVE-2026-58644 no SharePoint.

Roubo de chaves IIS e persistência

Segundo o alerta da CISA, a exploração combinada dessas vulnerabilidades permite aos atacantes roubar chaves de máquina do IIS, o Internet Information Services que hospeda o SharePoint em servidores Windows.

Essas chaves criptografam e validam tokens de sessão em aplicações ASP.NET e, uma vez comprometidas, permitem forjar requisições autênticas que contornam qualquer verificação de identidade no servidor comprometido.

Com as chaves de máquina IIS roubadas, os atacantes forjam tokens de sessão válidos e estabelecem persistência por meio de técnicas adicionais de desserialização, dificultando a remediação mesmo após a aplicação do patch.

A CISA alerta especificamente que a rotação de chaves não é remediação completa se artefatos de invasão permanecerem no servidor, pois coletores de chaves podem capturar as novas chaves imediatamente após a troca. Esse cuidado é central para interromper o acesso do atacante de forma duradoura.

Detecção com assinaturas AMSI

A CISA publicou assinaturas AMSI para identificar tentativas de exploração, incluindo Exploit:Script/ToolPaneAuthBypass.A, que varre cabeçalhos de requisição nas edições 2016, 2019 e Subscription Edition do SharePoint.

A assinatura MDAV Backdoor:MSIL/LeakFang.A!dha alerta sobre atividade de pós-exploração envolvendo acesso a segredos protegidos pelo IIS, como as chaves de máquina roubadas durante a invasão.

A Microsoft recomenda habilitar a integração AMSI em cada aplicação web do SharePoint e configurar o modo de varredura do corpo da requisição como Full. Esse modo permite ao Defender inspecionar cargas POST em busca de anomalias de desserialização. O modo Full de corpo está disponível apenas na Subscription Edition.

Hardening e resposta imediata

A CISA recomenda não expor servidores SharePoint diretamente à internet e, quando a exposição for necessária, posicioná-los atrás de um proxy reverso Layer 7 que exija autenticação e inspecione requisições de entrada.

Antes de rotacionar chaves de máquina, a agência orienta caçar artefatos de invasão, incluindo coletores de chaves, que poderiam permitir novo roubo após a troca.

A CISA também recomenda bloquear acesso externo à Administração Central do SharePoint e restringir comunicações de farm e banco de dados aos sistemas necessários. A orientação da Microsoft sobre portas, serviços e configurações de Web.config deve ser revisada para cada função do servidor.

O histórico do SharePoint no catálogo KEV da CISA inclui múltiplas entradas desde 2021, com registros associados a campanhas de ransomware conhecidas. Esse padrão recorrente reforça a urgência de tratar o produto como superfície de ataque prioritária em qualquer programa de gestão de vulnerabilidades.

O SharePoint Online não está entre os produtos afetados. Para organizações que ainda mantêm SharePoint Server 2016 ou 2019, cujo suporte estendido foi encerrado em 14 de julho de 2026, a migração reduz a exposição permanente a novas falhas. Para o contexto do pacote mensal, consulte a ordem de correção do Patch Tuesday de julho.

Fontes