A falha CVE-2026-55040 no Microsoft SharePoint Server permite que um atacante remoto e não autenticado desvie da validação de tokens JWT e assuma a identidade de qualquer usuário do site, inclusive administradores. Corrigida em 14 de julho de 2026, a vulnerabilidade de bypass de autenticação tem pontuação CVSS 9,1 e gravidade crítica. A Rapid7 descobriu que essa falha compõe a primeira metade de uma cadeia de exploit: a segunda metade — uma vulnerabilidade de execução remota de código separada — permanece sem correção até o ciclo de atualizações de agosto de 2026. Enquanto isso, a CISA já confirmou a exploração ativa de outras três falhas do SharePoint — CVE-2026-32201, CVE-2026-45659 e CVE-2026-56164 — contra servidores on-premise expostos à internet. Para organizações que mantêm farms SharePoint próprios, a janela de risco combina uma falha corrigida cuja metade do exploit segue em aberto com uma campanha de ataque ativa contra o mesmo produto.
O que é a CVE-2026-55040
A CVE-2026-55040 é classificada com pontuação-base CVSS 9,1, gravidade crítica e o tipo de fraqueza CWE-1390, autenticação fraca. Segundo a Rapid7, a falha resulta de diversos problemas no pipeline de validação de tokens JWT do SharePoint. Para explorá-la, o atacante precisa conhecer previamente o identificador do usuário-alvo — o Security ID (SID) do Active Directory ou o User Principal Name (UPN), que tem formato semelhante a um endereço de e-mail. Com essa informação, forja um token JWT válido e opera como se fosse aquele usuário, inclusive como administrador do site. A barreira real é obter o SID ou UPN, viável por enumeração, vazamentos anteriores ou engenharia social.
A prova de conceito da Rapid7 enumera usuários do SharePoint via SID e identifica a conta de administrador do site-alvo. Ao assumir essa identidade, o atacante pode executar operações administrativas contra o site sem nunca ter fornecido credenciais. O controle de acesso do SharePoint é totalmente derrotado, e a superfície de ataque autenticada do site fica disponível para encadeamento com outras falhas.
A metade sem correção
A Rapid7 combinou a CVE-2026-55040 com uma segunda vulnerabilidade de execução remota de código para formar uma cadeia que alcança RCE não autenticada contra um servidor SharePoint vulnerável. A Microsoft confirmou os dois componentes em 20 de maio de 2026 e dividiu a correção em dois ciclos: o bypass de autenticação foi corrigido em julho de 2026, e o componente de RCE deve ser corrigido no ciclo agendado para agosto. Até que a segunda metade seja corrigida, um servidor SharePoint exposto à internet permanece sob risco de comprometimento total sem autenticação, mesmo após a aplicação do patch de julho.
A linha do tempo da divulgação coordenada começa em 18 de maio de 2026, quando a Rapid7 reportou a cadeia completa à Microsoft. A empresa aplicou um período de 30 dias de embargo sobre detalhes técnicos e prova de conceito, e reclassificou a gravidade de média para crítica no dia do lançamento do patch.
| CVE | CVSS | Tipo | Status da correção |
|---|---|---|---|
| CVE-2026-55040 | 9,1 | Bypass de autenticação JWT (CWE-1390) | Corrigida em julho de 2026 |
| RCE da cadeia | Não divulgado | Execução remota de código não autenticada | Prevista para agosto de 2026 |
| CVE-2026-58644 | 9,8 | Desserialização (CWE-502) | Corrigida; em KEV desde 16/07/2026 |
A pesquisa com IA
A cadeia de exploit foi desenvolvida como entrada para o Pwn2Own Berlin, usando um agente de inteligência artificial que realizou cerca de 80.000 chamadas de ferramentas ao longo de 24 dias ativos de trabalho. A pesquisa foi conduzida por Stephen Fewer, pesquisador sênior de segurança da Rapid7, e dividida em dois sprints. O primeiro sprint, em janeiro de 2026, testou diferentes modelos e fluxos de trabalho para navegar e raciocinar sobre a base de código do SharePoint, mas não produziu achados. O segundo, em março, usou 96 sessões e 256 prompts e resultou na cadeia de duas vulnerabilidades que alcançou RCE não autenticada. A diferença entre os sprints reflete a velocidade de evolução dos modelos de IA e dos fluxos de trabalho de pesquisa assistida por agente.
A campanha contra SharePoint
Desde novembro de 2021, a CISA adicionou 11 vulnerabilidades do SharePoint ao catálogo KEV, e sete delas foram usadas em campanhas de ransomware. Em julho de 2026, a agência confirmou a exploração ativa de três falhas — CVE-2026-32201, CVE-2026-45659 e CVE-2026-56164 — contra servidores SharePoint on-premise expostos à internet. Os atacantes encadeiam essas falhas para desviar da autenticação, obter execução remota de código, roubar chaves de máquina do IIS e implantar persistência com malware, incluindo web shells que extraem material de machineKey do arquivo web.config.
A CISA adicionou a CVE-2026-58644, uma falha de desserialização com pontuação CVSS 9,8, ao catálogo KEV em 16 de julho de 2026, com prazo de remediação para 19 de julho. A vulnerabilidade permite que um atacante não autenticado execute código sobre a rede. A Shadowserver rastreia aproximadamente 10.000 instâncias de SharePoint Server expostas à internet, com mais de 800 sem correção contra duas das três falhas exploradas ativamente. SharePoint Online, gerenciado pela Microsoft dentro do Microsoft 365, não é afetado por essas vulnerabilidades.
Como responder agora
As versões afetadas são SharePoint Enterprise Server 2016 (abaixo de 16.0.5556.1005), SharePoint Server 2019 (abaixo de 16.0.10417.20153) e SharePoint Server Subscription Edition (abaixo de 16.0.19725.20384). A aplicação do patch deve ser verificada em cada nó do farm, porque o servicing incompleto pode deixar um farm multi-server exposto durante a transição.
- Aplicar as atualizações de segurança de julho de 2026 e verificar a instalação em todos os servidores do farm
- Ativar a integração AMSI para cada aplicação web do SharePoint e configurar o Request Body Scan Mode para Full quando viável
- Buscar artefatos de intrusão — incluindo web shells e roubo de chaves de máquina do IIS — antes de rotacionar as chaves
- Bloquear acesso externo ao SharePoint Central Administration e restringir tráfego entre farm e banco de dados
- Evitar exposição direta à internet; quando necessária, usar um reverse proxy de camada 7 com inspeção de requisições
- Monitorar detecções do Microsoft Defender e responder a alertas de exploração imediatamente
As assinaturas de detecção publicadas pela Microsoft e referenciadas pela CISA incluem Exploit:Script/ToolPaneAuthBypass.A, que faz varredura de cabeçalho de requisição e aplica-se a SharePoint Server 2016, 2019 e Subscription Edition. A assinatura Exploit:Script/SuspSignoutReqBody.A cobre varredura de corpo de requisição no Subscription Edition. Para contexto sobre priorização do pacote mensal completo, consulte a análise do Patch Tuesday de julho.
Fontes
- Rapid7 — CVE-2026-55040: SharePoint JWT Token Authentication Bypass (FIXED)
- NVD — CVE-2026-58644
- CISA — Known Exploited Vulnerabilities Catalog
- Rapid7 — CVE-2026-58644: SharePoint Server RCE Exploited in the Wild
- BleepingComputer — CISA warns admins to patch actively exploited SharePoint flaws
- Resecurity — From Web Request to Domain Compromise: July 2026 SharePoint Attacks