Uma falha crítica de execução remota de código no Microsoft SharePoint Server, identificada como CVE-2026-50522, está sob exploração ativa e entrou no catálogo KEV da CISA em 22 de julho de 2026. Com pontuação CVSS 9,8 e correção já disponível desde o Patch Tuesday de julho, a prioridade imediata é atualizar todos os servidores SharePoint locais não atualizados e avaliar indícios de comprometimento, pois relatos indicam que invasores estão roubando chaves criptográficas capazes de manter acesso mesmo após o patch.

Detalhes técnicos da falha

A CVE-2026-50522 é classificada como uma vulnerabilidade de desserialização de dados não confiáveis (CWE-502) no Microsoft Office SharePoint. O registro do NVD descreve que a falha permite que um atacante não autenticado execute código arbitrário pela rede, com vetor CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Essa combinação representa alcance remoto, baixa complexidade de ataque, ausência de privilégio prévio e nenhuma interação do usuário, com impacto total sobre confidencialidade, integridade e disponibilidade do sistema afetado.

A Microsoft publicou a correção em 14 de julho de 2026 como parte do Patch Tuesday daquele mês. O problema afeta exclusivamente instâncias locais do SharePoint Server, e não o SharePoint Online, serviço em nuvem gerenciado pela Microsoft com arquitetura de servidor diferente. A Zero Day Initiative publicou o advisory ZDI-26-412 no dia seguinte, identificando a classe SessionSecurityTokenHandler como área afetada e o caminho /_trust/default.aspx como parte da superfície de exploração relatada por pesquisadores.

Versões afetadas e correções

O NVD lista três produtos afetados abaixo dos builds corrigidos. A tabela abaixo resume as versões vulneráveis e os pacotes de atualização exigidos para cada linha de produto.

Produto Build corrigido mínimo Atualização
SharePoint Enterprise Server 2016 16.0.5561.1001 KB5002891
SharePoint Server 2019 16.0.10417.20175 KB5002883
SharePoint Server Subscription Edition 16.0.19725.20434 KB5002882

A verificação não deve se limitar a um relatório genérico do Windows Update. Farms do SharePoint exigem que cada membro esteja no build correto e que as tarefas de configuração do produto tenham sido concluídas após a instalação. Servidoresde teste, homologação e recuperação de desastre também precisam de inventário, pois frequentemente permanecem em builds desatualizadas e esquecidas. Para um caso anterior de SharePoint no KEV, veja a análise da CVE-2026-58644, que segue o mesmo padrão de falha de desserialização.

Roubo de chaves e persistência

O aspecto mais grave da CVE-2026-50522 não é apenas a execução remota de código, mas o que os atacantes fazem após invadir o servidor. Após obter execução de código, atacantes teriam extraído as machine keys do SharePoint e do IIS, material criptográfico usado para validar estado de aplicação e proteger tokens de autenticação. Com essas chaves em mãos, torna-se possível forjar cookies e tokens confiáveis, permitindo que o acesso persista mesmo depois da aplicação do patch de segurança.

Isso transforma a resposta de uma simples tarefa de correção em um problema de investigação de incidente. Aplicar o patch remove o código vulnerável, mas não invalida chaves que já foram copiadas nem apaga web shells ou contas criadas durante o período de exposição. Servidores SharePoint voltados para a internet antes do patch merecem uma avaliação de comprometimento completa, com revisão de logs de IIS, ULS do SharePoint, eventos do Windows, dados de EDR e logs de proxy de identidade.

Plano de ação para defensores

A resposta recomendada combina correção, investigação e fortalecimento de exposição. A lista ordenada abaixo prioriza as ações mais urgentes:

  1. Inventariar todos os servidores SharePoint locais, com atenção especial a instâncias voltadas para a internet, acessíveis por VPN ou expostas a parceiros externos.
  2. Aplicar as atualizações de julho de 2026 da Microsoft em todos os membros do farm e verificar o build corrigido em cada servidor.
  3. Preservar logs antes da limpeza: IIS, ULS do SharePoint, eventos do Windows, EDR, WAF e proxy reverso.
  4. Caçar sinais de exploração: requisições suspeitas em /_trust/default.aspx, processos filhos anômalos do w3wp.exe (cmd, powershell, certutil), arquivos .aspx, .ashx ou web.config novos ou modificados.
  5. Rotacionar as machine keys do SharePoint e do ASP.NET onde houver exposição ou suspeita de comprometimento, seguindo a orientação do fabricante.
  6. Remover exposição pública desnecessária: colocar o SharePoint atrás de proxy reverso autenticado, bloquear acesso externo à Administração Central e restringir comunicação entre farm e banco de dados.
  7. Documentar toda a remediação: versão anterior, atualização aplicada, versão posterior, chaves rotacionadas e resultado da investigação de logs.

O padrão de exploração rápida após a publicação de prova de conceito é consistente com outros casos recentes, como a falha de RCE no Langflow, onde tentativas de exploração surgiram em menos de um dia após a divulgação técnica.

Fontes