A CVE-2026-50522 é uma vulnerabilidade crítica de desserialização de dados não confiáveis (CWE-502) no Microsoft SharePoint Server que permite execução remota de código sem autenticação, com pontuação CVSS 9,8. A exploração ativa foi confirmada pela CISA, que incluiu a falha em seu catálogo KEV em 22 de julho de 2026 com prazo de correção de apenas três dias. Atacantes já utilizam código de prova de conceito público para comprometer farms SharePoint on-premises expostos à internet e roubar chaves de máquina, o que permite forjar tokens de autenticação e manter acesso mesmo após a aplicação do patch.
Falha crítica de desserialização
A vulnerabilidade reside na desserialização inadequada de dados fornecidos pelo usuário, uma classe de falha (CWE-502) que permite a um atacante remoto injetar objetos maliciosos diretamente na memória do servidor. No SharePoint, o problema afeta o processamento de autenticação na página /_trust/default.aspx, onde a classe SessionSecurityTokenHandler interpreta tokens de sessão recebidos do usuário. Um atacante sem credenciais envia uma requisição especialmente construída que aciona a execução de código arbitrário no processo do servidor web (w3wp.exe), obtendo controle total da máquina comprometida.
A Microsoft divulgou os patches em 14 de julho de 2026, e a CISA adicionou o CVE-2026-50522 ao catálogo de vulnerabilidades conhecidas e exploradas em 22 de julho de 2026, com prazo final em 25 de julho. A janela de oito dias entre o patch oficial e a confirmação de exploração na natureza evidencia que atacantes se moveram rapidamente após a divulgação dos detalhes técnicos. A pontuação EPSS, segundo pesquisadores, ultrapassou 57%, colocando a falha no percentil 99 de urgência entre todos os CVEs publicados.
Versões afetadas e correções
Três edições on-premises do SharePoint são afetadas, todas com builds de correção já disponíveis desde o Patch Tuesday de julho de 2026:
| Produto | Build mínima corrigida | Atualização |
|---|---|---|
| SharePoint Server 2016 / Enterprise | 16.0.5561.1001 | KB5002891 |
| SharePoint Server 2019 | 16.0.10417.20175 | KB5002883 |
| SharePoint Server Subscription Edition | 16.0.19725.20434 | KB5002882 |
Assim como uma falha que bypassa autenticação em VPNs da Palo Alto, o SharePoint on-premises é amplamente implantado em ambientes corporativos e frequentemente exposto à internet para acesso de colaboradores e parceiros externos. Instalações do SharePoint Online não são afetadas, pois a Microsoft aplica correções automaticamente na infraestrutura gerenciada. A verificação deve confirmar que cada membro do farm, e não apenas o servidor principal, está na build mínima corrigida — farms com nós desatualizados permanecem vulneráveis mesmo após correção parcial.
Ataque ativo rouba chaves
A avaliação SSVC da CISA marca a exploração como ativa, a automação como possível e o impacto técnico como total. Relatos de pesquisadores de segurança indicam que atacantes não se limitam a executar código remoto: eles extrairam as chaves de máquina (machine keys) do SharePoint e do IIS, que controlam a assinatura de cookies e tokens de autenticação. Com essas chaves em mãos, um atacante forja tokens de acesso válidos que sobrevivem à aplicação do patch, garantindo persistência silenciosa mesmo em servidores já corrigidos. A existência de prova de conceito pública ampliou significativamente o grupo de atacantes capazes de explorar a falha.
A detecção deve priorizar três sinais: requisições POST para /_trust/default.aspx contendo strings como SecurityContextToken ou BinaryFormatter; processos filho de w3wp.exe executando cmd.exe, powershell.exe ou certutil.exe; e arquivos .aspx, .dll ou web.config recém-criados nos diretórios do SharePoint. A Microsoft publicou nomes de detecção do Defender e AMSI, incluindo Exploit:Script/SuspSignoutReqBody.A e Exploit:Script/ToolPaneAuthBypass.A.
Plano de resposta para equipes
Equipes de segurança devem tratar o CVE-2026-50522 como incidente de prioridade máxima, executando três frentes simultâneas: correção, investigação e rotação de credenciais.
- Inventariar todos os servidores SharePoint on-premises, priorizando os expostos à internet ou acessíveis por parceiros externos.
- Corrigir aplicando as atualizações de julho de 2026 e verificando a build em cada membro do farm individualmente.
- Preservar logs do IIS, ULS, WAF e EDR antes de qualquer reinicialização ou mudança de configuração.
- Investigar requisições POST anômalas para
/_trust/default.aspx, spawns suspeitos dew3wp.exee arquivos web recém-modificados. - Rotacionar as chaves de máquina do SharePoint e do IIS após a limpeza, invalidando qualquer token forjado pelo atacante.
- Endurecer removendo exposição direta à internet e colocando o SharePoint atrás de proxy reverso ou WAF com autenticação obrigatória.
Servidores corrigidos não são seguros se as chaves já foram roubadas: a rotação é etapa obrigatória, não opcional. Da mesma forma que um zero-day ativo no PeopleSoft exigiu resposta imediata da Oracle, o CVE-2026-50522 exige ação coordenada e urgente de correção, threat hunting e rotação de chaves de criptografia.