A CVE-2026-58644 é uma vulnerabilidade crítica de execução remota de código no SharePoint Server, com pontuação CVSS 9,8, confirmada pela Microsoft como explorada ativamente antes do patch lançado em 14 de julho de 2026. A CISA adicionou a falha ao catálogo Known Exploited Vulnerabilities dois dias depois, em 16 de julho, com prazo final para órgãos federais americanos em 19 de julho. A correção existe, mas não remove acessos já estabelecidos por invasores: quem explorou a falha antes do patch pode manter persistência através do roubo de chaves criptográficas do servidor. Para organizações que mantêm SharePoint on-premise, a resposta exigida vai além da simples aplicação da atualização de segurança.

Como a falha funciona

O registro CVE classifica a fraqueza como CWE-502, desserialização de dados não confiáveis no Microsoft Office SharePoint. A descrição do registro na NVD afirma que a desserialização de dados não confiáveis no SharePoint permite que um atacante não autorizado execute código remotamente pela rede. O vetor CVSS 3.1 — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — representa ataque pela rede, baixa complexidade, ausência de privilégio prévio e nenhuma interação do usuário. A combinação dessas propriedades produz pontuação 9,8, próxima do máximo na escala de severidade.

Essa configuração significa que um servidor SharePoint acessível pela internet pode ser comprometido com uma única requisição HTTP não autenticada, sem necessidade de credenciais roubadas, acesso prévio à rede ou interação humana. A complexidade baixa do ataque reduz a barreira técnica para operadores médios: uma vez compreendida a cadeia de desserialização, o exploit é repetível e automatizável. A Microsoft confirmou exploração ativa da falha, o que indica que atacantes já haviam desenvolvido e utilizado a técnica antes da divulgação pública do patch.

A falha afeta três versões suportadas do produto on-premise. O registro CVE lista SharePoint Enterprise Server 2016 abaixo da build 16.0.5556.1005, SharePoint Server 2019 abaixo de 16.0.10417.20153 e SharePoint Server Subscription Edition abaixo de 16.0.19725.20384 como produtos afetados. Esses limites devem ser comparados com a versão efetivamente instalada em cada nó do farm, e não apenas com o nome comercial do produto. A correção para cada versão foi entregue nas atualizações de segurança publicadas em 14 de julho de 2026.

SharePoint Online no Microsoft 365 não aparece como produto afetado no registro CVE. A Microsoft esclarece que as vulnerabilidades documentadas afetam apenas servidores SharePoint on-premise e não afetam o SharePoint Online no Microsoft 365. A diferença é operacional: na nuvem, a Microsoft aplica as correções automaticamente; em instalações locais, cada organização é responsável por inventariar e atualizar todos os nós do farm sem depender de mecanismo automático.

Roubo de chaves do servidor

O detalhe que transforma uma correção de rotina em resposta a incidente é o que ocorre após a execução remota de código. Em investigações de campanhas anteriores contra SharePoint on-premise, a Microsoft documentou que atacantes enviam uma requisição POST especialmente criada para fazer upload de um web shell no servidor comprometido. Segundo o blog de segurança da Microsoft, o web shell implantado contém comandos para recuperar dados de MachineKey e devolver os resultados ao atacante, permitindo o roubo do material de chave criptográfica.

Com uma machine key roubada, o invasor pode forjar tokens de sessão válidos e autenticar-se como qualquer usuário, inclusive administradores. Essa capacidade permite iniciar novos ataques de desserialização contra qualquer aplicação no mesmo servidor que confie na chave comprometida, mantendo acesso persistente mesmo depois que o patch de correção é aplicado. A consequência operacional é direta: aplicar a correção fecha a porta de entrada, mas não remove o invasor que já entrou e guardou uma cópia da chave.

A Microsoft recomenda explicitamente rotacionar as ASP.NET machine keys dos servidores SharePoint depois de aplicar a atualização de segurança. A documentação oficial da Microsoft descreve o cmdlet Set-SPMachineKey como o mecanismo para configurar as chaves de descriptografia e validação do ASP.NET de uma aplicação web no SharePoint Server. Sem essa etapa de rotação, o acesso persistente do atacante sobrevive à correção. A CISA reforça essa orientação ao recomendar a caça por artefatos de invasão antes de rotacionar as chaves comprometidas.

Campanha coordenada de exploração

A CVE-2026-58644 é a quarta vulnerabilidade do SharePoint adicionada ao catálogo KEV da CISA em 2026. Desde novembro de 2021, a CISA catalogou 11 vulnerabilidades do Microsoft SharePoint exploradas em ataques, das quais sete também foram usadas em campanhas de ransomware. O padrão demonstra que o SharePoint on-premise permanece uma superfície de ataque ativamente explorada por múltiplos grupos de ameaça ao longo do tempo, e não um produto que recebe atenção isolada e pontual.

CVE Tipo Data no KEV Prazo CISA
CVE-2026-32201 Spoofing pela rede 14/04/2026 17/04/2026
CVE-2026-45659 RCE por desserialização 01/07/2026 04/07/2026
CVE-2026-56164 Elevação de privilégio 14/07/2026 17/07/2026
CVE-2026-58644 RCE não autenticado 16/07/2026 19/07/2026

A Microsoft atribuiu parte da exploração de servidores SharePoint on-premise a atores ligados à China, incluindo Linen Typhoon, Violet Typhoon e o Storm-2603, este último associado à implantação de ransomware Warlock. A Microsoft documentou que o Storm-2603 iniciou a implantação de ransomware usando vulnerabilidades do SharePoint a partir de 18 de julho de 2025. Cada nova falha adicionada ao KEV reativa o risco para servidores que não concluíram a correção das anteriores. Para um contexto aprofundado sobre como a Microsoft subestimou o risco de uma falha anterior do produto, consulte a análise da CVE-2026-45659.

Exposição global e detecção

O grupo Shadowserver rastreia aproximadamente 10.000 servidores SharePoint expostos à internet. Desses, mais de 800 permanecem sem patch para falhas anteriores do SharePoint já listadas no catálogo KEV da CISA. Esses números representam a janela de oportunidade que os atacantes exploram: servidores acessíveis pela rede e com versões vulneráveis instaladas por meses após a disponibilidade da correção oficial.

A Microsoft publicou detecções AMSI e Microsoft Defender associadas à exploração observada da CVE-2026-58644. A assinatura Exploit:Script/SuspSignoutReqBody.A monitora o corpo de requisições no SharePoint Server Subscription Edition e bloqueia as tentativas de exploração observadas, segundo relato da Rapid7 baseado em dados da Microsoft. A assinatura Exploit:Script/ToolPaneAuthBypass.A inspeciona cabeçalhos de requisições nas versões 2016, 2019 e Subscription Edition. A Microsoft afirma que a integração AMSI em modo completo para todas as aplicações web do SharePoint é uma mitigação essencial contra a exploração não autenticada. Para a ordem completa de correção do Patch Tuesday de julho, consulte o guia de priorização de atualizações.

Plano de resposta imediata

A resposta à CVE-2026-58644 exige tratar o servidor como potencialmente comprometido, não apenas como desatualizado. A CISA orienta que os responsáveis avaliem a exposição de cada ativo à internet e sigam as diretrizes de aplicação de patches da BOD 26-04. A sequência operacional prioriza a correção, mas não se encerra na aplicação do pacote de atualização.

  1. Inventariar todos os farms e nós SharePoint, incluindo servidores de aplicação e nós não diretamente expostos à internet.
  2. Comparar a versão instalada em cada nó com os limites do registro CVE e aplicar a atualização correspondente.
  3. Rotacionar as ASP.NET machine keys de qualquer servidor que possa ter estado exposto antes da correção, usando o cmdlet Set-SPMachineKey.
  4. Habilitar a integração AMSI em modo completo para todas as aplicações web do SharePoint e confirmar as detecções do Microsoft Defender.
  5. Caçar indicadores de comprometimento: arquivos ASPX inesperados em diretórios virtuais, processos filhos anômalos do w3wp.exe, contas de administrador criadas recentemente e conexões de ferramentas de acesso remoto não autorizadas.
  6. Restringir a exposição à internet: se o SharePoint não precisa estar acessível externamente, remover essa exposição; se precisa, colocar atrás de proxy reverso com inspeção na camada de aplicação.

Para os detalhes sobre as versões afetadas e o prazo específico da entrada no KEV, consulte a análise dedicada à CVE-2026-58644 no catálogo. O prazo de 19 de julho dado pela CISA não é uma sugestão administrativa: é o reflexo de uma janela de exploração real e ativa, em que cada dia adicional sem o patch amplia a exposição ao comprometimento total do servidor e da rede corporativa que ele integra.

Fontes