Em 16 de julho de 2026, a CISA confirmou a CVE-2026-58644 como a quarta vulnerabilidade do Microsoft SharePoint Server sob exploração ativa no cluster de julho, elevando para quatro o número de falhas da plataforma adicionadas ao catálogo KEV em poucos meses. A falha, de desserialização de dados não confiáveis (CWE-502) com CVSS 9,8, permite execução remota de código sem autenticação em todas as versões on-premises suportadas — SharePoint Server 2016, 2019 e Subscription Edition — e dá a agências federais americanas prazo até 19 de julho para aplicar a correção ou isolar os servidores. O SharePoint Online, hospedado e gerenciado pela Microsoft na nuvem, não é afetado por essa classe de falhas.

O quarto zero-day do SharePoint

O Patch Tuesday de julho de 2026, divulgado em 14 de julho, corrigiu 570 vulnerabilidades em produtos Microsoft, dentre as quais 59 foram classificadas como críticas e três como zero-days. Foi o ciclo em que o SharePoint on-premises se consolidou como alvo sistemático de atacantes. A CVE-2026-58644 chegou ao boletim sem indicação de exploração, mas a revisão do aviso da Microsoft e a entrada no KEV poucos dias depois mostraram que existiam exploits funcionando antes da correção — um zero-day real.

Somando CVE-2026-32201 (KEV em 14 de abril), CVE-2026-45659 (1º de julho) e CVE-2026-56164 (14 de julho), são quatro falhas do SharePoint confirmadas em exploração ativa num único ciclo de campanha, num intervalo de poucas semanas. A edição anterior já havia alertado sobre a CVE-2026-45659 em julho e sobre os 206 bugs do Patch Tuesday de junho, mas o ritmo se acelerou.

Como a cadeia de ataque funciona

A raiz técnica é a desserialização insegura (CWE-502): o servidor reconstrói objetos a partir de dados serializados manipulados pelo atacante, sem validar tipos, e executa código no contexto da conta de serviço do SharePoint. Um invasor sem autenticação, ou com privilégios mínimos de Site Owner, consegue injetar o payload pela rede, com baixa complexidade e sem qualquer interação do usuário.

Análises de inteligência de ameaças mostram que os atacantes encadeiam as falhas para roubar a machineKey do IIS a partir do arquivo web.config e implantar webshells como spinstall0.aspx para persistência. A partir desse acesso, o movimento lateral rumo ao Active Directory, ao SQL Server e aos demais sistemas corporativos é direto, transformando um simples pedido web em comprometimento de domínio. Uma segunda falha de execução remota sem autenticação, ligada à CVE-2026-55040 (bypass de JWT), segue sob embargo e só deve ser corrigida no Patch Tuesday de agosto.

Versões afetadas e prazo federal

Todas as versões on-premises suportadas estão no escopo: SharePoint Enterprise Server 2016, SharePoint Server 2019 e SharePoint Server Subscription Edition. A diretiva BOD 26-04 obriga agências federais americanas a corrigir ou desconectar os servidores afetados até 19 de julho de 2026. Empresas privadas não estão sujeitas ao prazo, mas a janela é igualmente crítica: a presença no KEV costuma disparar ondas de exploração automatizada poucos dias depois.

A Shadowserver estima cerca de 10 mil instâncias do SharePoint Server expostas à internet globalmente, populações que mantêm repositórios de documentos, portais internos e fluxos de trabalho por razões de soberania de dados ou conformidade. As builds corrigidas partem de 16.0.5556.1005 no Server 2016, 16.0.10417.20153 no 2019 e 16.0.19725.20384 no Subscription Edition.

Versão afetada Build corrigida
SharePoint Enterprise Server 2016 16.0.5556.1005 ou superior
SharePoint Server 2019 16.0.10417.20153 ou superior
SharePoint Server Subscription Edition 16.0.19725.20384 ou superior

Mitigações antes do patch

Enquanto a correção não é aplicada, a Microsoft e a CISA recomendam ativar a integração AMSI em cada aplicação web do SharePoint, com Request Body Scan em modo Full, para inspecionar o corpo das requisições em busca de anomalias de desserialização. Recomenda-se ainda bloquear a exposição pública do Central Administration e colocar o servidor atrás de um proxy reverso na camada 7 que exija autenticação e inspecione requisições.

No lado de detecção, é preciso monitorar os processos w3wp.exe e OWSTIMER em busca de processos filhos anômalos como cmd.exe ou powershell.exe, além de arquivos .aspx e .ashx recém-criados nos diretórios virtuais do SharePoint. Assinaturas do Defender e AMSI já associadas à campanha incluem Exploit:Script/SuspSignoutReqBody.A, Exploit:Script/ToolPaneAuthBypass.A e Exploit:Script/ToolPaneAuthBypass.C.

Um plano de resposta em cinco passos:

  1. Inventariar todos os servidores da farm, incluindo servidores de aplicação que não ficam voltados para a internet.
  2. Verificar o número de build em cada host — não apenas no front-end.
  3. Aplicar as atualizações de julho de 2026 e confirmar a conclusão em todos os nós.
  4. Ativar a integração AMSI com Request Body Scan em modo Full em cada aplicação web.
  5. Hunt por webshells novos e por processos filhos anômalos de w3wp.exe.

Padrão de ataques ao SharePoint

O histórico reforça a urgência: atores de estado-nação e operadores de ransomware têm o SharePoint on-premises como alvo recorrente. Em 2025, a Microsoft atribuiu a exploração do SharePoint (cadeia ToolShell) a grupos chineses, usada para implantar ransomware Warlock e LockBit — contexto detalhado na análise da CVE-2026-45659 já publicada aqui. A recorrência de falhas de desserialização e roubo de machineKey transforma o SharePoint on-premises em front de combate contínuo, onde cada novo boletim precisa ser tratado como emergência.

Quem gerencia correções por número de CVE, em vez de pacote acumulado, corre risco especial — a análise da CVE-2026-45659 publicada aqui mostra como uma correção pode ficar omitida do boletim oficial. Em fazendas multi-server, a cadeia completa permite roubo de credenciais, exfiltração de documentos e movimento lateral rumo ao domínio corporativo — exatamente o cenário que torna a verificação de build em cada host mais importante do que a porcentagem geral de patches aplicados.

Fontes