Em 14 de julho de 2026, a CISA confirmou a exploração ativa do CVE-2026-56164, uma falha crítica de elevação de privilégio no SharePoint Server local que permite a um atacante não autenticado elevar privilégios pela rede sem credenciais válidas. A vulnerabilidade recebeu CVSS 9,8 no NVD, entrou no catálogo KEV (Known Exploited Vulnerabilities) no mesmo dia e recebeu prazo de remediação de apenas três dias para as agências federais americanas. O Patch Tuesday de julho liberou correções para todas as versões locais suportadas — SharePoint Server Subscription Edition, 2019 e 2016 — e o ciclo coincidiu com o fim do suporte oficial das versões 2016 e 2019, criando uma tempestade perfeita para ambientes locais expostos à internet.
Cadeia de exploração confirmada
Não se trata de uma falha isolada. Atacantes combinam CVE-2026-32201, CVE-2026-45659 e CVE-2026-56164 para contornar autenticação, executar código remotamente e roubar chaves de máquina do IIS usadas para assinar e criptografar dados ASP.NET. Web shells já foram empregados para extrair o machineKey do arquivo web.config de servidores comprometidos, permitindo que o invasor forge requisições e mantenha persistência mesmo após correções parciais. Vítimas relatadas incluem órgãos governamentais, instituições de saúde, financeiras e de infraestrutura crítica, num padrão oportunista contra servidores voltados à internet.
A CVE-2026-58644, outra falha de desserialização de dados não confiáveis (CWE-502) com CVSS 9,8, permite execução remota de código sem autenticação e foi confirmada como explorada após a Microsoft atualizar seu advisory em 15 de julho. A classificação CWE-306 do CVE-2026-56164 significa que um atacante não autenticado pode alcançar o nível de Farm Administrator e, como o SharePoint ocupa posição de confiança ao lado do Active Directory, do SQL Server e do IIS, uma falha web vira vetor de comprometimento de infraestrutura. Já a CVE-2026-55040, classificada como bypass de autenticação fraca (CWE-1390) com CVSS 9,1, permite que um atacante forje tokens válidos para qualquer usuário, incluindo administradores. Pesquisadores da Rapid7 indicam que uma segunda falha do mesmo encadeamento permanece sem correção e só deve ser corrigida no ciclo de agosto de 2026.
Versões afetadas e corrigidas
Todas as versões locais suportadas do SharePoint Server estão no escopo, e a correção exige atualização para builds específicas em cada edição.
| Edição | Build vulnerável | Build corrigida |
|---|---|---|
| Subscription Edition | anterior a 16.0.19725.20434 | 16.0.19725.20434 |
| SharePoint Server 2019 | anterior a 16.0.10417.20175 | 16.0.10417.20175 |
| SharePoint Server 2016 | anterior a 16.0.5561.1001 | 16.0.5561.1001 |
O inventário deve cobrir instâncias esquecidas em ambientes de teste, filiais e servidores de terceiros, onde atualizações falhadas deixam servidores não corrigidos. Um scan autenticado confirma se o build corrigido está em execução, distinguindo correção presumida de correção verificada em cada servidor do farm. O pacote KB5002882, publicado em 14 de julho de 2026 para a Subscription Edition, resolve múltiplas vulnerabilidades de execução remota de código, falsificação, bypass de recurso de segurança e elevação de privilégio em uma única instalação.
Fim do suporte agrava risco
No mesmo 14 de julho de 2026 em que a correção do CVE-2026-56164 foi lançada, a Microsoft encerrou o suporte mainstream e estendido do SharePoint Server 2016 e do SharePoint Server 2019. Isso significa que a janela de risco não fecha sozinha com o tempo. Sem suporte, essas versões não recebem mais atualizações de segurança, e qualquer nova falha descoberta permanecerá sem correção oficial.
Organizações que não migraram para a Subscription Edition ou para o SharePoint Online rodam software sem patches futuros, exatamente enquanto falhas ativas são exploradas contra servidores expostos à internet. O padrão se repete desde a campanha ToolShell de 2025, que já explorava as mesmas versões locais pouco antes de um ciclo de fim de suporte. Para organizações reguladas, rodar software sem suporte diante de falhas exploradas cria um questionamento documental de conformidade com rastro de papel. Quem mantém plataformas legadas precisa tratar cada advisory como prioridade de risco, não como item de manutenção rotineira.
Mitigações e detecção imediata
A CISA e o Centro Canadense de Segurança Cibernética recomendam habilitar a integração AMSI (Antimalware Scan Interface) em cada aplicação web do SharePoint, com Request Body Scan Mode em Full onde for operacionalmente viável. O AMSI inspeciona corpos e cabeçalhos de requisição, permitindo que o Microsoft Defender bloqueie tentativas de exploração antes que atinjam o servidor.
A CISA e a Microsoft divulgaram detecções de exploração que devem ser monitoradas nos servidores afetados:
- Exploit:Script/SuspSignoutReqBody.A — AMSI, corpo da requisição, Subscription Edition
- Exploit:Script/ToolPaneAuthBypass.A — AMSI, cabeçalho da requisição, versões 2016, 2019 e Subscription
- Exploit:Script/ToolPaneAuthBypass.C — AMSI, cobertura de execução remota de código
- Backdoor:MSIL/LeakFang.A!dha — Microsoft Defender, acesso a segredos do IIS
Restringir a exposição direta do SharePoint à internet e limitar o acesso à Administração Central reduzem a superfície explorável antes mesmo da aplicação completa do patch. O monitoramento contínuo de logs e tráfego, conforme detalhado em práticas de monitoramento de logs, é o que permite detectar tentativas em tempo hábil.
Resposta em cinco passos
Um plano estruturado de resposta a incidentes separa quem contém o ataque de quem é apenas vitimado. Execute as cinco ações abaixo nesta ordem.
- Confirmar o estado do patch em cada instância, incluindo ambientes de teste, filiais e fazendas de terceiros.
- Rotacionar as chaves de máquina do IIS após o patch, para invalidar credenciais eventualmente roubadas.
- Caçar indicadores de pós-exploração: web shells, acesso anômalo ao machineKey e processos suspeitos nos hosts.
- Inventariar todo o software local contra datas de fim de suporte documentadas pelo fabricante.
- Escolher o caminho de migração: SharePoint Online, Subscription Edition ou modelo híbrido.
A rotação de chaves é indispensável porque o patch por si só não remove um invasor já instalado — chaves roubadas continuam válidas para assinar requisições fraudulentas. Combine isso com detecção AMSI contínua e resposta ensaiada. O preparo prévio, com MFA resistente a phishing, patching priorizado e backup imutável, segue decisivo diante de ameaças como o ransomware em 2026.