A CVE-2026-55944 exige prioridade de correção em ambientes que executam Microsoft Dynamics NAV 2018 ou Business Central on-premises, porque permite execução remota de código pela rede sem autenticação nem interação do usuário.

O risco não está apenas na pontuação CVSS. Um ERP concentra dados financeiros, fornecedores, clientes, estoque e integrações com outros sistemas. Por isso, a decisão correta combina aplicação do patch, confirmação do inventário, redução da exposição da interface de login e investigação de sinais de abuso.

Este caso merece um tratamento diferente de uma simples contagem mensal de atualizações: o caminho de ataque começa em uma solicitação de login e pode atingir diretamente um servidor que normalmente possui acesso privilegiado a bancos de dados e compartilhamentos internos.

O que foi corrigido

A NVD registra a CVE-2026-55944 como uma falha de desserialização de dados não confiáveis no Microsoft Dynamics NAV. O registro foi publicado em 14 de julho de 2026 e identifica a Microsoft como fonte de atribuição do problema.

A desserialização ocorre quando uma aplicação reconstrói objetos a partir de dados recebidos. Se a entrada não for validada com controles suficientes, o conteúdo enviado pelo cliente pode alterar o fluxo esperado do processamento. Nesse caso, o problema foi classificado como CWE-502, uma categoria associada a riscos de injeção de objetos e execução de código.

A descrição publicada pela NVD afirma que a desserialização de dados não confiáveis no Microsoft Dynamics NAV permite que um atacante não autorizado execute código pela rede. A formulação é importante porque separa o problema de uma falha local que exigiria acesso prévio ao servidor: o vetor descrito é remoto.

O registro da NVD também delimita o produto afetado: Microsoft Dynamics NAV 2018 em versões anteriores à compilação 11.0.50704.0. Inventários que usam somente nomes comerciais podem esconder a exposição, já que algumas equipes identificam o mesmo ambiente como NAV, Dynamics ERP ou Business Central legado.

O vetor CVSS informado pela Microsoft para a CVE-2026-55944 é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, com pontuação base 9,8 e severidade crítica. Em termos operacionais, a combinação indica acesso pela rede, baixa complexidade, ausência de privilégios prévios, nenhuma ação do usuário e impacto alto sobre confidencialidade, integridade e disponibilidade.

Por que o risco é alto

A análise da Tenable descreve a CVE-2026-55944 como uma vulnerabilidade de execução remota de código no Dynamics NAV e informa que o ataque pode ser realizado com uma solicitação de login especialmente criada, sem autenticação ou interação do usuário. Esse desenho reduz as barreiras que normalmente impedem uma exploração oportunista.

Não é necessário presumir que todo servidor exposto já foi comprometido. A avaliação correta é mais objetiva: descobrir se a interface pode ser alcançada por redes não confiáveis, confirmar a versão do produto e procurar eventos anormais antes e depois da instalação da atualização.

Um servidor ERP comprometido pode oferecer ao invasor um ponto de apoio para consultar bancos de dados, alterar arquivos de configuração, criar persistência ou usar credenciais armazenadas por integrações. A consequência exata depende das permissões do serviço e da segmentação da rede, portanto a revisão deve incluir o contexto do ambiente, não apenas o CVSS.

A Tenable classifica a exploração da CVE-2026-55944 como “More Likely”, embora não relate, no material consultado, exploração ativa ou código de prova de conceito público para essa falha específica. A distinção evita dois erros: tratar a vulnerabilidade como inofensiva por ainda não haver confirmação de ataques, ou afirmar que já existe uma campanha observada sem evidência suficiente.

Esse nível de risco também muda a ordem do trabalho. O time não deve esperar a próxima janela ampla de manutenção se o sistema estiver publicado na internet. O teste pode ser curto e direcionado, com validação do login, cliente web, filas, relatórios, extensões e conexão com o banco de dados.

Quem precisa agir

O registro da NVD identifica como afetado o Microsoft Dynamics NAV 2018 em versões inferiores à 11.0.50704.0. A primeira tarefa é cruzar essa informação com o inventário real, incluindo produção, contingência, homologação, servidores esquecidos e máquinas usadas apenas para relatórios históricos.

Organizações que usam Business Central on-premises também devem consultar a tabela de atualização específica da Microsoft para sua versão. O rótulo do produto não substitui a conferência da compilação, e o fato de uma instância não ser considerada “principal” não reduz a exposição se o serviço continuar ativo e acessível.

A prioridade é maior quando o endpoint de login passa por NAT público, balanceador, proxy reverso ou regra ampla de firewall. Esses componentes podem registrar a requisição, mas não devem ser tratados como correção da falha de desserialização. Se o patch não puder ser aplicado imediatamente, o acesso deve ser limitado a redes administrativas ou VPN.

O contexto do Dynamics também deve ser comparado com outros ativos Microsoft. O mesmo ciclo de atualização incluiu falhas em serviços corporativos diferentes, e uma equipe que corrige apenas Windows pode deixar o aplicativo ERP vulnerável. O inventário precisa registrar produto, edição, versão, proprietário, exposição, dependências e data da última validação.

Como responder agora

O NVD informa que a atualização corrigida deve ser obtida a partir do aviso da Microsoft e registra a versão 11.0.50704.0 como limite de correção para o Dynamics NAV 2018. A atualização do sistema operacional, isoladamente, não confirma que o componente Dynamics recebeu a correção apropriada.

  1. Localize as instâncias. Consulte CMDB, scanners, regras de firewall, registros DNS, balanceadores e servidores de contingência. Confirme a versão diretamente no aplicativo ou no servidor, sem depender de etiquetas antigas.
  2. Reduza a exposição. Remova publicação direta na internet quando possível e permita o acesso somente a redes necessárias. Registre qualquer exceção aprovada e defina prazo curto para sua remoção.
  3. Aplique o patch do produto. Use o aviso da Microsoft correspondente à edição instalada. Depois, confirme a compilação e guarde o resultado no processo interno de gestão de vulnerabilidades.
  4. Faça testes funcionais. Valide autenticação, cliente web, integrações, relatórios, filas de trabalho, extensões e conexão com o banco. Um teste pequeno e representativo é preferível a adiar indefinidamente uma correção crítica.
  5. Procure sinais de abuso. Revise solicitações de login malformadas, processos filhos inesperados, novos serviços, tarefas agendadas, alterações de configuração, conexões de saída incomuns e consultas anômalas ao banco.

O Centro de Cibersegurança da Bélgica recomenda instalar as atualizações para os dispositivos vulneráveis com a maior prioridade possível, depois de testes adequados, e reforçar o monitoramento para identificar atividade suspeita. A orientação também alerta que corrigir o software não elimina automaticamente uma possível invasão histórica.

Sinal observado Leitura técnica Resposta inicial
Login malformado repetido Possível teste do endpoint vulnerável Preservar logs e comparar origem, horário e payload
Processo filho do serviço Dynamics Execução fora do comportamento esperado Isolar o host e coletar evidências antes da limpeza
Nova tarefa ou serviço Possível persistência Validar proprietário, criação e relação com mudança aprovada
Conexão externa incomum Possível comando, exfiltração ou movimento Bloquear o destino após preservar os registros necessários

Se houver indício de comprometimento, a prioridade deixa de ser apenas instalar a atualização. Isole o servidor conforme o plano de resposta, preserve logs e imagens, revise credenciais usadas pelo serviço, valide a integridade do banco e examine os sistemas conectados. Um guia interno sobre monitoramento de logs e indicadores de comprometimento pode apoiar essa etapa.

A distinção entre correção e contenção é essencial. Patching reduz a possibilidade de novos ataques, mas não prova que nenhum invasor entrou antes. Em ambientes com dados sensíveis, a equipe deve documentar a exposição, a janela de risco, os testes realizados e a decisão de reabrir o acesso externo.

Também vale separar este caso de falhas locais do Windows, como o zero-day abordado em GreatXML e o bypass do BitLocker. Os produtos e os vetores são diferentes; misturá-los em uma única regra de correção pode levar a inventário incompleto e falsa sensação de cobertura.

Fontes