A CISA adicionou a CVE-2026-50522 ao catálogo de Vulnerabilidades Conhecidamente Exploradas (KEV) em 22 de julho de 2026, confirmando a exploração ativa da terceira falha de desserialização do Microsoft SharePoint Server no mesmo ciclo de atualização de julho. A vulnerabilidade sem autenticação recebeu pontuação CVSS 9,8 e prazo de remediação até 25 de julho de 2026. Servidores on-premises expostos à internet estão na superfície de ataque imediata, pois o defeito dispensa credenciais e interação do usuário. As três falhas do SharePoint confirmadas em exploração ativa compartilham a mesma classe de fraqueza registrada no NVD: CWE-502, desserialização de dados não confiáveis. Para o contexto do conjunto mensal completo, consulte a ordem de correção do Patch Tuesday de julho de 2026.
Terceira falha do SharePoint
A CVE-2026-50522 é o terceiro defeito de desserialização do SharePoint confirmado em exploração ativa no Patch Tuesday de julho de 2026. As duas falhas anteriores — CVE-2026-56164 e CVE-2026-58644 — já haviam sido incluídas no KEV nos dias 14 e 16 de julho, respectivamente. O Hacker News relatou que a CVE-2026-50522 é a terceira vulnerabilidade do SharePoint a testemunhar esforços de exploração ativa, depois da CVE-2026-56164 e da CVE-2026-58644, com as duas últimas armadas como zero-days antes de serem corrigidas.
Ambas as falhas anteriores foram exploradas como zero-days antes da disponibilização das correções pela Microsoft. A CVE-2026-58644, segunda do grupo, entrou no KEV com CVSS 9,8 e prazo de apenas três dias, conforme detalhado na análise sobre a CVE-2026-58644 no SharePoint. O intervalo entre a correção e a confirmação de exploração ativa foi medido em dias, não semanas.
Todas afetam as mesmas versões on-premises do produto: SharePoint Enterprise Server 2016, SharePoint Server 2019 e SharePoint Server Subscription Edition. O padrão indica que a superfície de ataque do produto é sistemática, não pontual. A análise sobre a CVE-2026-45659 no SharePoint, incluída no KEV em 1º de julho, confirma que a plataforma já vinha sendo alvo recorrente desde o primeiro semestre.
Vetor de ataque e impacto
A descrição registrada no NVD afirma que a desserialização de dados não confiáveis no Microsoft Office SharePoint permite que um atacante não autorizado execute código pela rede. O vetor CVSS 3.1 atribuído pela CNA Microsoft é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Cada componente desse vetor tem consequência direta na priorização defensiva. AV:N indica ataque pela rede, AC:L indica baixa complexidade, PR:N dispensa privilégios prévios e UI:N dispensa interação do usuário. C:H representa comprometimento alto de confidencialidade, I:H representa comprometimento alto de integridade e A:H representa comprometimento alto de disponibilidade. O bloco SSVC registrado pela CISA marca exploração como ativa, automação como possível e impacto técnico como total.
Essas propriedades combinadas explicam a nota CVSS 9,8. Não há firewall de aplicação que substitua a correção do fabricante, nem segmentação de rede que elimine o risco em servidores legítimos alcançáveis por usuários internos e externos.
Versões afetadas e correção
| Produto | Build corrigida | Verificação |
|---|---|---|
| SharePoint Enterprise Server 2016 | A partir de 16.0.5561.1001 | Todos os nós |
| SharePoint Server 2019 | A partir de 16.0.10417.20175 | Todos os nós |
| SharePoint Server Subscription Edition | A partir de 16.0.19725.20434 | Todos os nós |
Os dados de configuração CPE publicados no NVD delimitam três linhas de produto on-premises afetadas, e os limites de build listados acima devem ser comparados com a versão efetivamente instalada em cada servidor do farm. SharePoint Online e Microsoft 365 não estão no escopo, pois a Microsoft gerencia esses ambientes diretamente na nuvem.
Em fazendas com múltiplos servidores, a verificação precisa cobrir cada nó individualmente, incluindo Web Front-End, Application Servers e servidores de busca. A aplicação do pacote cumulativo em apenas um servidor não garante a correção do farm inteiro.
Prova de conceito e exploração
Após a Microsoft liberar a correção em 14 de julho, uma prova de conceito pública foi divulgada e pesquisadores da watchTowr observaram tentativas de exploração na natureza em poucos dias. A Microsoft creditou a equipe da DEVCORE pela descoberta original da falha. Esse intervalo curto entre a publicação da prova de conceito e a exploração real comprime drasticamente a janela de correção disponível para equipes defensivas.
A rapidez segue o mesmo padrão observado nas outras duas falhas do SharePoint deste ciclo. A CVE-2026-58644 foi confirmada como zero-day explorado antes do patch e recebeu prazo de três dias no KEV. O registro da CVE-2026-58644 no NVD confirma o mesmo padrão de três versões afetadas, o que reforça que o produto inteiro compartilha a base de código vulnerável. Organizações que operam com calendário mensal de mudanças já estão atrás dos atacantes que leram o mesmo aviso e construíram um exploit funcional em questão de dias.
Mitigação e prazo da CISA
A ação exigida pela CISA para a CVE-2026-50522 é aplicar as mitigações conforme as instruções do fabricante, observar a diretiva BOD 26-04 e seguir os requisitos de triagem forense indicados nas notas do KEV. O prazo de remediação estabelecido pela agência é 25 de julho de 2026, três dias após a inclusão no catálogo. Para serviços em nuvem, a entrada manda seguir a orientação aplicável da mesma diretiva ou descontinuar o uso do produto se as mitigações não estiverem disponíveis.
A Microsoft e a CISA recomendam monitorar detecções do Microsoft Defender e da interface AMSI para identificar tentativas de exploração. O Rapid7 documentou assinaturas como Exploit:Script/SuspSignoutReqBody.A e Exploit:Script/ToolPaneAuthBypass.A associadas à atividade observada no SharePoint. Garantir que a AMSI esteja ativada em modo completo em todas as aplicações web do SharePoint amplia a detecção de cargas maliciosas incorporadas em requisições e objetos serializados.
O campo sobre uso conhecido em campanhas de ransomware permanece como desconhecido no registro da CISA para a CVE-2026-50522, o que significa que exploração ativa e atribuição a ransomware não devem ser tratadas como sinônimos. Mesmo assim, a presença no KEV e a classe de fraqueza tornam a remediação prioritária independentemente da confirmação de uso em ransomware. A correção do patch não desfaz o acesso que o atacante possa ter obtido antes da atualização, por isso a triagem forense indicada nas notas do KEV é parte integral da remediação.
Checklist de remediação
- Identifique todos os farms SharePoint on-premises sob gestão.
- Compare cada versão instalada com o limite de build do NVD.
- Aplique a atualização de julho de 2026 em todos os nós afetados.
- Verifique a conclusão e preserve os registros de triagem forense.
- Ative a AMSI em modo completo e monitore as detecções do Defender.
- Avalie a exposição à internet de cada ativo e restrinja o acesso desnecessário.