CISA confirma zero-day crítico no SharePoint Server

A vulnerabilidade CVE-2026-58644 é uma falha crítica de execução remota de código no Microsoft SharePoint Server local, com nota CVSS 9,8, confirmada como zero-day pela CISA em 16 de julho de 2026. Trata-se de uma vulnerabilidade de desserialização de dados não confiáveis (CWE-502) que permite a um atacante não autenticado executar código arbitrário pela rede em servidores expostos, sem exigir credenciais, privilégios administrativos ou interação do usuário. A CISA adicionou a CVE-2026-58644 ao catálogo de vulnerabilidades exploradas (KEV) com prazo de correção até 19 de julho de 2026 para agências federais americanas, sob a diretiva BOD 26-04. A Microsoft disponibilizou o patch no Patch Tuesday de 14 de julho, mas a revisão posterior do advisory confirmou que a exploração já ocorria antes da correção existir.

Por que virou zero-day

Quando a Microsoft publicou a correção em 14 de julho de 2026, o boletim oficial classificou a vulnerabilidade como não explorada ativamente. O registro na NVD, porém, documenta que o SSVC (Stakeholder-Specific Vulnerability Categorization) foi alterado de exploitation: none para exploitation: active em 16 de julho de 2026, reclassificando formalmente a CVE-2026-58644 como zero-day. Essa mudança indica que atacantes possuíam exploits funcionais enquanto nenhum patch existia em qualquer lugar do mundo. A revisão do advisory da Microsoft, combinada com a entrada no KEV, confirmou que tráfego de exploração ativo foi detectado no período entre a descoberta da vulnerabilidade e o lançamento da correção de 14 de julho, encerrando a janela de zero-day que estava sendo ativamente usada contra alvos reais.

Seis falhas em um ciclo

A campanha de exploração do SharePoint em julho de 2026 reúne seis vulnerabilidades distintas, das quais quatro já foram confirmadas pela CISA como exploradas ativamente e adicionadas ao KEV. A CVE-2026-58644 tornou-se o quarto CVE do SharePoint confirmado como explorado dentro da mesma janela, unindo-se às falhas CVE-2026-32201, CVE-2026-45659 e CVE-2026-56164. A expansão de quatro CVEs do mesmo produto no KEV em menos de 48 horas sinaliza que os atacantes usaram múltiplas técnicas de exploração contra a plataforma, em vez de depender de um único vetor.

A CVE-2026-58644 se diferencia das demais por ser totalmente não autenticada: o vetor CVSS AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H indica que qualquer atacante com acesso à rede pode explorá-la sem credenciais. Para comparação, a CVE-2026-45659 exigia permissão de membro do site, conforme detalhado em análise anterior. As versões afetadas são SharePoint Enterprise Server 2016, SharePoint Server 2019 e SharePoint Server Subscription Edition. O SharePoint Online, gerenciado pela Microsoft na nuvem, não é impactado por essa classe de vulnerabilidade.

Cadeia de ataque à infraestrutura

Um servidor SharePoint comprometido abre caminho para comprometimento total do domínio corporativo. Os atacantes encadeiam as vulnerabilidades para obter acesso inicial, executar código remoto, implantar web shells e roubar chaves de máquina do IIS usadas para assinar e criptografar dados ASP.NET. Análises de inteligência de ameaças detalham que web shells como spinstall0.aspx foram usados para extrair material de machineKey do arquivo web.config, permitindo persistência durável e movimento lateral para bancos de dados SQL Server, Active Directory e outros sistemas críticos.

O SharePoint Server é implantado como uma arquitetura multi-camada conhecida como farm, com servidores Web Front-End que processam requisições HTTP, servidores de aplicação que hospedam serviços de busca e administração, clusters de SQL Server para armazenamento e Active Directory para identidade. A alta interconexão entre esses componentes significa que comprometer um único servidor Web Front-End exposto pode dar acesso a bancos de dados sensíveis e serviços administrativos, caso a segmentação de rede seja insuficiente.

O Shadowserver rastreia aproximadamente 10 mil servidores SharePoint expostos na internet, com centenas ainda sem correção. A posição central do SharePoint em fluxos de trabalho empresariais — armazenando documentos, propriedade intelectual e dados de clientes — faz de cada instância comprometida uma porta direta para dados sensíveis. A CISA atribui a campanha a atores de ameaça sem nomear grupo específico, mas os TTPs observados são consistentes com operações de espionagem e ransomware.

Como se proteger agora

Organizações que operam SharePoint Server local devem priorizar a correção em caráter de emergência. A Microsoft confirmou exploração ativa de CVE-2026-58644 e recomendou a aplicação imediata das atualizações de 14 de julho. Atualizações incompletas em servidores individuais do farm podem deixar pontos de entrada abertos mesmo após o processo de patching aparentar sucesso, pois cada servidor da topologia precisa receber e confirmar a instalação da correção. A Microsoft e a CISA recomendam um conjunto de ações imediatas para aplicar o patch, ativar controles de detecção e verificar a integridade do ambiente:

1. Aplicar as atualizações de segurança de 14 de julho de 2026 para todas as versões afetadas e verificar a conclusão em cada servidor do farm
2. Garantir que o AMSI esteja habilitado em cada aplicação web do SharePoint, conforme recomendação da Microsoft
3. Monitorar as assinaturas Exploit:Script/SuspSignoutReqBody.A e Exploit:Script/ToolPaneAuthBypass.A no Microsoft Defender
4. Caçar artefatos de invasão, incluindo sinais de roubo de machineKey e web shells não autorizados
5. Bloquear acesso externo à Administração Central e restringir comunicação do farm aos sistemas necessários
6. Evitar expor servidores SharePoint diretamente à internet ou colocá-los atrás de proxy

A aplicação do patch fecha a porta que os atacantes usam, mas não desfaz o acesso que já obtiveram. Se o farm SharePoint esteve exposto à internet em qualquer momento desde a divulgação dessas vulnerabilidades, trate-o como potencialmente comprometido e inicie procedimentos de resposta a incidentes, com busca ativa de artefatos de intrusão antes de assumir que a correção resolveu o problema. A diretiva BOD 26-04, que vincula agências federais americanas a um prazo de três dias, serve como referência útil para qualquer organização decidir a velocidade da resposta, tenha ou não obrigação federal. Para padrões de exploração de bypass de autenticação em produtos corporativos de rede, consulte também o caso da VPN da Palo Alto.

Fontes

• NVD — CVE-2026-58644
• CISA — Catálogo KEV
• Rapid7 — Emergent Threat Response
• Daily Security Review — KEV após zero-day
• Resecurity — Ataques SharePoint julho 2026