A CISA adicionou a CVE-2026-50522 ao catálogo de vulnerabilidades conhecidas e exploradas (KEV) em 22 de julho de 2026, confirmando exploração ativa de uma falha crítica de desserialização no Microsoft SharePoint que permite execução remota de código sem autenticação. A agência deu prazo até 25 de julho para que órgãos federais americanos apliquem as correções. Com pontuação CVSS de 9,8, a vulnerabilidade afeta instalações locais do SharePoint Server 2016, 2019 e Subscription Edition, e já tem prova de conceito pública divulgada.
A falha foi corrigida pela Microsoft no Patch Tuesday de julho de 2026, o mesmo ciclo que registrou o maior volume de correções da empresa em um único mês. A recorrência de vulnerabilidades críticas em produtos Microsoft é tema de cobertura contínua neste portal, como o zero-day GreatXML que bypassa o BitLocker e a falha zero-click no Outlook corrigida em maio.
O que é a CVE-2026-50522
Classificada como CWE-502 (desserialização de dados não confiáveis), a CVE-2026-50522 permite que um atacante não autenticado execute código arbitrário remotamente em servidores SharePoint acessíveis pela rede. A NVD atribuiu pontuação CVSS 3.1 de 9,8 (crítica), com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando que nenhuma interação do usuário é necessária e o impacto abrange confidencialidade, integridade e disponibilidade.
A Microsoft emitiu o advisory e as correções em 14 de julho de 2026. A Zero Day Initiative (ZDI) publicou o advisory ZDI-26-412 no dia seguinte, identificando a classe SessionSecurityTokenHandler como origem do problema: a falha resulta da falta de validação adequada de dados fornecidos pelo usuário, permitindo a desserialização de objetos não confiáveis. A descoberta foi creditada a splitline (@_splitline_), da DEVCORE Research Team, e originou-se de uma demonstração no Pwn2Own.
Como ocorre o ataque
O atacante remoto envia uma requisição especialmente manipulada para a superfície de autenticação do SharePoint, explorando a ausência de validação na classe SessionSecurityTokenHandler para desencadear a desserialização insegura. Como nenhuma autenticação é exigida, qualquer servidor acessível pela internet é um alvo viável. A exploração leva à execução de código no contexto da conta de serviço do SharePoint.
Análises técnicas posteriores indicam que atacantes têm usado o acesso obtido para extrair as machine keys do SharePoint e do IIS, que podem ser usadas para forjar tokens de autenticação e cookies válidos. Esse mecanismo permite impersonação de usuários e acesso a sites e documentos mesmo depois que o patch é aplicado, desde que as chaves não sejam rotacionadas. A presença de prova de conceito pública amplia a janela de risco, pois reduz a barreira técnica para novos grupos de ameaça.
Versões afetadas e correções
Apenas instalações on-premises do SharePoint Server são afetadas. O SharePoint Online (Microsoft 365) não está no escopo. A tabela abaixo resume as versões vulneráveis, os builds de correção e os KBs correspondentes:
| Produto | Build vulnerável (anterior a) | Build corrigido | KB |
|---|---|---|---|
| SharePoint Server 2016 / Enterprise Server 2016 | 16.0.5561.1001 | 16.0.5561.1001 ou superior | KB5002891 |
| SharePoint Server 2019 | 16.0.10417.20175 | 16.0.10417.20175 ou superior | KB5002883 |
| SharePoint Server Subscription Edition | 16.0.19725.20434 | 16.0.19725.20434 ou superior | KB5002882 |
Organizações com servidores expostos à internet devem tratar a aplicação do patch como emergência. Aplicar a correção fecha a porta de entrada, mas não remove acessos já estabelecidos nem invalida chaves roubadas.
Plano de resposta imediato
Equipes de segurança que mantêm SharePoint on-premises devem executar o seguinte plano de contenção e remediação:
- Inventariar todas as farms de SharePoint on-premises e identificar servidores com exposição à internet ou a redes de parceiros.
- Aplicar os KBs de julho de 2026 (KB5002891, KB5002883 ou KB5002882 conforme a versão) e verificar o build em todos os membros da farm.
- Preservar logs de IIS, ULS, WAF, EDR e Windows antes de qualquer limpeza, para suportar investigação forense.
- Caçar indicadores de comprometimento: requisições POST suspeitas para /_trust/default.aspx, processos filhos de w3wp.exe (cmd.exe, powershell.exe, certutil.exe) e arquivos novos ou modificados (.aspx, .dll, web.config) nos diretórios do SharePoint.
- Rotacionar as machine keys do SharePoint e do IIS após a limpeza, para invalidar tokens e cookies forjados com chaves roubadas.
- Remover exposição direta à internet, colocando o SharePoint atrás de proxy reverso autenticado ou VPN, e bloquear acesso externo ao Central Administration.
Revisar contas de serviço, administradores de farm, timer jobs e soluções implantadas também é essencial, pois atacantes com RCE tendem a estabelecer persistência por mecanismos legítimos do próprio SharePoint.