A CISA adicionou a vulnerabilidade CVE-2026-50522 ao catálogo de vulnerabilidades exploradas (KEV) em 22 de julho de 2026, com prazo final de correção em apenas três dias — 25 de julho. A falha de desserialização no Microsoft SharePoint permite que um atacante não autenticado execute código remoto em servidores on-premise com CVSS 9,8. Após a liberação de uma prova de conceito em 20 de julho, empresas de segurança registraram exploração ativa em questão de horas, com invasores roubando machine keys do IIS para manter acesso persistente mesmo após o patch.
Falha CVSS 9,8 sem autenticação
CVE-2026-50522 é uma vulnerabilidade de desserialização de dados não confiáveis (CWE-502) no Microsoft Office SharePoint Server, classificada com a pontuação máxima de 9,8 no CVSS 3.1. O vetor de ataque — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — indica que um atacante remoto, sem qualquer autenticação ou interação do usuário, pode obter confidencialidade, integridade e disponibilidade total do sistema comprometido.
A falha afeta três versões suportadas do SharePoint Server em instalações on-premise: SharePoint Enterprise Server 2016 (anteriores a 16.0.5561.1001), SharePoint Server 2019 (anteriores a 16.0.10417.20175) e SharePoint Server Subscription Edition (anteriores a 16.0.19725.20434). A Microsoft corrigiu a vulnerabilidade no Patch Tuesday de 14 de julho de 2026. Servidores SharePoint Online, hospedados e atualizados pela própria Microsoft, não são afetados.
O número de servidores on-premise expostos na internet é limitado, mas significativo. Um levantamento da Censys identificou aproximadamente 1.500 instâncias self-managed, predominantemente SharePoint 2019, a maioria localizada nos Estados Unidos. A precisão do patch status não pode ser determinada remotamente, pois o cabeçalho de resposta do SharePoint limita essa verificação.
PoC acelera ataques em massa
A transformação de CVE corrigido para incidente ativo aconteceu em menos de uma semana. Em 20 de julho, o pesquisador Janggggg publicou uma prova de conceito funcional que explora o fluxo de autenticação do SharePoint, entregando um payload malicioso .NET BinaryFormatter por meio de um token de segurança forjado enviado ao endpoint /_trust/default.aspx. Se o servidor processar o token manipulado pelo caminho de desserialização afetado, o resultado é execução arbitrária de código.
A watchTowr, empresa de segurança ofensiva, registrou tentativas de exploração bem-sucedidas em sua rede global de honeypots dentro de horas após a publicação do PoC. Os ataques observados visavam especificamente servidores SharePoint on-premise e tentavam extrair as machine keys do IIS — chaves criptográficas usadas por aplicações ASP.NET para validar dados de autenticação.
A cronologia sugere que a exploração pode ter começado antes mesmo da liberação do PoC público. A empresa de inteligência de ameaças Defused capturou em 17 de julho tráfego de honeypot que agora atribui a CVE-2026-50522, com requisições sem material de autenticação compatível com o perfil não autenticado da falha.
Patch não fecha a brecha
O alerta mais crítico para equipes de defesa é que aplicar o patch da Microsoft não encerra o risco em servidores já comprometidos. Se um atacante obteve as machine keys do IIS antes da correção, ele pode continuar forjando tokens de autenticação válidos e personificando usuários — incluindo administradores — mesmo depois que o servidor foi atualizado.
A CISA emitiu orientação específica para organizações que rodam instâncias self-managed do SharePoint: aplicar as atualizações de segurança rapidamente, verificar se a integração do Antimalware Scan Interface (AMSI) está habilitada para cada aplicação web do SharePoint, monitorar detecções e, crucialmente, investigar artefatos de invasão antes de rotacionar as machine keys do IIS. Rotacionar chaves sem antes remover persistência pode mascarar a presença do atacante sem eliminá-la.
O contexto mais amplo do SharePoint como vetor de ataque é preocupante. Desde 2021, a CISA catalogou pelo menos 11 vulnerabilidades do SharePoint exploradas na natureza, sete das quais também usadas em campanhas de ransomware. A invasão da Homeland Security Information Network (HSIN) do Departamento de Segurança Interna dos EUA, documentada entre maio e junho de 2026, teve servidores SharePoint como ponto de entrada — um lembrete de que a plataforma é alvo recorrente de operações de alto impacto.
Checklist de resposta imediata
Equipes que administram SharePoint on-premise devem priorizar as seguintes ações, nesta ordem:
- Aplicar o patch de 14 de julho em todas as instâncias, incluindo ambientes de staging, recuperação de desastre e farms legados.
- Caçar artefatos de invasão antes de rotacionar chaves: revisar logs do servidor web, requisições suspeitas a
/_trust/default.aspx, arquivos novos, processos filhos inesperados e conexões de saída anômalas do servidor SharePoint. - Rotacionar machine keys do IIS após confirmar ausência de persistência ativa, para invalidar tokens forjados.
- Habilitar e monitorar AMSI em cada aplicação web do SharePoint.
- Revisar privilégios e persistência: novas contas administrativas, permissões alteradas, arquivos web.config modificados, tarefas agendadas e serviços inesperados.
- Restringir exposição à internet: bloquear acesso direto ao SharePoint sempre que possível e segmentar a rede.
| Versão afetada | Build mínima segura | CVSS |
|---|---|---|
| SharePoint Enterprise Server 2016 | 16.0.5561.1001 | 9,8 |
| SharePoint Server 2019 | 16.0.10417.20175 | 9,8 |
| SharePoint Server Subscription Edition | 16.0.19725.20434 | 9,8 |
Organizações que gerenciam risco de vulnerabilidade com fila baseada em exploração ativa devem tratar CVE-2026-50522 como prioridade máxima, especialmente onde servidores estão expostos à internet ou acessíveis por grande número de usuários internos.