A vulnerabilidade CVE-2026-50522 no Microsoft SharePoint Server permite que um atacante remoto execute código arbitrário sem qualquer autenticação, recebendo nota máxima de 9,8 no CVSS 3.1. A CISA confirmou exploração ativa no dia 22 de julho de 2026 e estabeleceu o prazo de 25 de julho para que agências federais americanas apliquem a correção ou deixem de usar o produto. A gravidade do caso não se limita ao acesso inicial: invasores roubam as chaves de máquina do IIS para forjar tokens de autenticação e manter persistência mesmo depois que o servidor recebe o patch de segurança. Aplicar apenas a atualização, portanto, não elimina um atacante que já entrou.

Como o ataque funciona

A falha é classificada como desserialização de dados não confiáveis, registrada sob o identificador CWE-502, uma categoria que engloba vulnerabilidades em que o servidor processa objetos serializados recebidos pela rede sem validação adequada do conteúdo. A Microsoft descreve o problema como permitindo que um atacante não autorizado execute código remotamente pela rede, sem exigir credenciais, privilégios prévios ou qualquer interação do lado da vítima.

Vulnerabilidades de desserialização são particularmente perigosas porque o servidor executa o código contido no objeto recebido antes de validar sua origem ou estrutura. No caso do SharePoint, o endpoint /_trust/default.aspx processa respostas de federação usadas no login com provedores de identidade externos, como o Active Directory Federation Services. Um atacante que controle a resposta de login consegue entregar o objeto malicioso diretamente ao caminho vulnerável.

O vetor prático de exploração, documentado após a divulgação de uma prova de conceito pública, consiste em enviar um payload .NET BinaryFormatter malicioso embutido como cookie de um SecurityContextToken forjado dentro de uma resposta de login WS-Federation, endereçada ao endpoint /_trust/default.aspx do SharePoint. Quando o caminho vulnerável de desserialização processa esse token, o payload executa código arbitrário no servidor com os privilégios do processo do IIS. A prova de conceito em PowerShell, publicada por um pesquisador no GitHub, foi avaliada como estruturalmente legítima por analistas que examinaram o código.

Persistência via roubo de chaves

A empresa de segurança ofensiva watchTowr detectou tentativas de exploração bem-sucedidas em 20 de julho de 2026, apenas algumas horas após a publicação da prova de conceito. A empresa de inteligência de ameaças Defused identificou tráfego sem material de autenticação compatível com a falha já em 17 de julho, três dias antes do PoC público. Esse padrão indica que a exploração começou antes da divulgação da prova de conceito, aproveitando o intervalo entre a correção distribuída pela Microsoft em 14 de julho e a aplicação efetiva pelos administradores de sistema.

O objetivo central dos atacantes é extrair as chaves de máquina do IIS hospedadas no servidor comprometido. Com essas chaves, o invasor pode criar tokens de autenticação válidos para se passar por qualquer usuário legítimo e acessar sites, documentos e recursos integrados. Esse mecanismo garante acesso de longa duração: mesmo que o administrador aplique a correção posteriormente, os tokens forjados continuam aceitos até que as chaves sejam explicitamente rotacionadas. Por isso, o watchTowr recomenda expressamente que os defensores rotacionem credenciais e chaves em todo ativo que possa ter sido exposto à internet durante a janela de vulnerabilidade. A diferença entre esta falha e um RCE comum está na qualidade da persistência obtida: tokens forjados com chaves válidas trafegam pela rede como sessões legítimas, driblando controles convencionais de detecção.

Versões afetadas e correção

A falha afeta exclusivamente as edições autogerenciadas do SharePoint Server: a versão 2016 (anterior à build 16.0.5561.1001), a versão 2019 (anterior à build 16.0.10417.20175) e o SharePoint Server Subscription Edition (anterior à build 16.0.19725.20434). As instâncias do SharePoint Online, hospedadas e corrigidas automaticamente pela Microsoft, não estão sujeitas a esse vetor de ataque.

Organizações que executam o SharePoint 2016 devem observar que a Microsoft recomenda a instalação do cumulative update completo de julho, e não apenas as correções de segurança individuais. Para as edições 2019 e Subscription Edition, a orientação é a mesma: aplicar o pacote cumulativo garante que todas as correções relacionadas sejam aplicadas em uma única operação.

A correção foi distribuída no Patch Tuesday de julho de 2026, publicado em 14 de julho. Os pacotes de atualização por edição são:

Edição do SharePoint Pacote KB
Server 2016 KB 5002891 e KB 5002892
Server 2019 KB 5002883 e KB 5002885
Subscription Edition KB 5002882

Um levantamento da empresa Censys identificou aproximadamente 1.500 servidores SharePoint locais acessíveis pela internet, em sua maioria executando a edição 2019, concentrados nos Estados Unidos. Como o cabeçalho de resposta HTTP do SharePoint limita a precisão na avaliação do nível de patch aplicado, não é possível determinar quantos desses sistemas já receberam a atualização de segurança.

Plano de resposta e defesa

  1. Aplique imediatamente o pacote de julho de 2026 correspondente à sua edição do SharePoint Server.
  2. Se o servidor esteve exposto à internet, execute a triagem forense recomendada pela CISA antes de corrigir, preservando evidências de comprometimento.
  3. Rotacione as chaves de máquina do IIS e todas as credenciais que possam ter sido expostas, incluindo contas de serviço e certificados.
  4. Restrinja o acesso administrativo a redes de gerenciamento dedicadas e exija autenticação multifator resistente a phishing em todas as interfaces externas.
  5. Monitore os logs de acesso ao endpoint /_trust/default.aspx e investigue tokens de autenticação anômalos, contas de administrador recém-criadas e configurações alteradas sem justificativa.

Servidores que permaneceram expostos à internet durante a janela entre 14 e 25 de julho merecem atenção redobrada. A triagem forense deve buscar evidências de execução de código no contexto do IIS, alterações em arquivos web.config, criação de contas com privilégios elevados e conexões de saída anômalas. A CISA ressalta que a CVE-2026-50522 é a terceira vulnerabilidade do SharePoint Server com exploração ativa confirmada, somando-se às CVE-2026-56164 e CVE-2026-58644, ambas corrigidas no mesmo ciclo de julho. A agência recomenda que organizações com instância própria tratem as três como prioridade imediata e priorizem a investigação de sistemas que permaneceram sem correção durante a janela de risco.

Fontes