Em 14 de julho de 2026, a CISA adicionou dois zero-days da Microsoft ao catálogo Known Exploited Vulnerabilities (KEV): CVE-2026-56155, falha de escalada de privilégio no Active Directory Federation Services (AD FS), e CVE-2026-56164, vulnerabilidade de autenticação ausente no SharePoint Server. Ambas já estavam sendo exploradas na natureza quando a Microsoft liberou as correções no Patch Tuesday de julho, e órgãos federais dos Estados Unidos têm prazos de remediação que vencem entre 17 e 28 de julho. A inclusão no KEV é o sinal mais forte de que atacantes estão usando essas falhas neste momento, tornando a correção prioridade máxima para qualquer ambiente com servidores Windows expostos.
O que mudou no KEV
A CISA adicionou CVE-2026-56155 e CVE-2026-56164 ao Known Exploited Vulnerabilities Catalog em 14 de julho de 2026, com base em evidência de exploração ativa. O catálogo KEV lista exclusivamente vulnerabilidades confirmadas em ataques reais — não riscos teóricos — e funciona como o principal sinal de priorização para equipes de segurança em todo o mundo. Para órgãos do governo federal americano, a diretiva BOD 26-04 exige aplicação das correções dentro do prazo estabelecido e triagem forense para verificar comprometimento anterior. Organizações privadas não estão sujeitas à diretiva, mas a CISA recomenda expressamente que adotem a mesma priorização baseada em risco.
Essas duas vulnerabilidades da Microsoft chegaram ao KEV no mesmo lote que CVE-2026-15409 e CVE-2026-15410, falhas em appliances SonicWall SMA1000. A presença de produtos de identidade (AD FS) e colaboração (SharePoint) no mesmo conjunto reforça que atacantes privilegiam tecnologias de uso cotidiano e frequentemente expostas à internet. Servidores de federação de identidade e plataformas de colaboração são alvos recorrentes porque concentram acesso a dados sensíveis e contas privilegiadas.
AD FS: escalada de privilégio
O CVE-2026-56155 afeta o Active Directory Federation Services com uma falha de granularidade insuficiente de controle de acesso, classificada como CWE-1220. A descrição técnica afirma que a vulnerabilidade permite que um atacante autorizado eleve privilégios localmente. A Microsoft atribuiu CVSS 3.1 de 7,8 (alto), com vetor de ataque local (AV:L), baixa complexidade (AC:L) e privilégios baixos necessários (PR:L). Após a exploração, o impacto sobre confidencialidade, integridade e disponibilidade é total. O CISA classificou o impacto técnico desta vulnerabilidade como total.
A lista de produtos afetados é ampla: Windows Server 2012, 2012 R2, 2016, 2019, 2022 e 2025, além do Windows 10 nas versões 1607 e 1809. Um atacante com privilégios baixos pode escalar para administrador dentro do serviço de federação, abrindo caminho para movimento lateral e controle de identidades em todo o domínio. Servidores AD FS expostos ou com segmentação de rede deficiente representam o maior risco. O prazo de remediação definido pelo CISA para esta vulnerabilidade é 28 de julho de 2026.
SharePoint: autenticação ausente
O CVE-2026-56164 é uma vulnerabilidade de autenticação ausente para função crítica no Microsoft SharePoint Server, classificada como CWE-306. A descrição do NVD afirma que a falha permite que um atacante não autenticado eleve privilégios pela rede. Enquanto a Microsoft avaliou a gravidade como média (CVSS 5,3), o NVD calculou CVSS 3.1 de 9,8 (crítico), com vetor de ataque remoto sem necessidade de credenciais ou interação do usuário. O CISA marcou a vulnerabilidade como automatizável, indicando que ferramentas de exploração podem operar sem intervenção manual.
As versões afetadas são SharePoint Server Enterprise 2016 (anteriores à build 16.0.5561.1001), SharePoint Server 2019 (anteriores à 16.0.10417.20175) e SharePoint Server Subscription Edition (anteriores à 16.0.19725.20434). O prazo de remediação para órgãos federais é 17 de julho de 2026 — apenas três dias após a inclusão no KEV. A divergência entre a pontuação da Microsoft (5,3) e do NVD (9,8) ilustra por que a priorização baseada apenas no CVSS do fabricante pode subestimar o risco real de uma falha remota não autenticada.
Prioridade e prazo de correção
As duas falhas têm prazos diferentes, e a diferença reflete a urgência calculada pelo CISA com base no tipo de acesso necessário e na automatização da exploração. A tabela abaixo resume os pontos críticos para triagem:
| CVE | Produto | CVSS (NVD) | Automatizável | Prazo KEV |
|---|---|---|---|---|
| CVE-2026-56155 | AD FS | 7,8 (alto) | Não | 28/07/2026 |
| CVE-2026-56164 | SharePoint | 9,8 (crítico) | Sim | 17/07/2026 |
A prioridade operacional deve considerar dois fatores além do CVSS: exposição à internet e automatização. O CVE-2026-56164, embora avaliado como médio pela Microsoft, é remoto, não autenticado e automatizável — três características que justificam correção imediata. O CVE-2026-56155 exige acesso local prévio, mas concede controle total após a exploração, o que o torna perigoso em cenários de comprometimento inicial já estabelecido.
A sequência recomendada para equipes de segurança é direta:
- Identifique todos os servidores AD FS e instâncias do SharePoint no inventário de ativos.
- Filtre os expostos à internet e corrija esses primeiro.
- Aplique as atualizações de segurança liberadas pela Microsoft em 14 de julho de 2026.
- Verifique as versões de build após a correção para confirmar a aplicação do patch.
- Execute triagem forense nos servidores afetados para descartar comprometimento anterior ao patch.
A priorização com base em exploração ativa — e não apenas em pontuação CVSS — é uma prática recorrente em programas maduros de gestão de vulnerabilidades. O CVE-2026-0257 da Palo Alto, adicionado ao KEV em maio de 2026, é outro caso de falha de autenticação explorada antes da correção. Da mesma forma, a resiliência contra ransomware depende diretamente da velocidade de aplicação de patches em vulnerabilidades confirmadamente exploradas.