A vulnerabilidade CVE-2026-58644 é uma falha de desserialização de dados não confiáveis no Microsoft SharePoint Server, com pontuação CVSS 9,8, que permite a um atacante não autorizado executar código remotamente pela rede. A CISA adicionou a falha ao catálogo de vulnerabilidades conhecidas e exploradas (KEV) em 16 de julho de 2026 e fixou em 19 de julho o prazo para que agências federais apliquem as correções. A inclusão no KEV ocorreu após a Microsoft revisar o advisory original, que no lançamento do Patch Tuesday não indicava exploração ativa.
Apenas implantações locais (on-premises) do SharePoint estão no escopo: o SharePoint Online, dentro do Microsoft 365, não é afetado por esta classe de falha. Um zero-day anterior no mesmo produto, o CVE-2025-53770, já havia demonstrado o risco de servidores locais expostos à internet e a urgência de aplicar correções sem demora.
A falha de desserialização
Desserialização é o processo de converter dados armazenados de volta em um formato utilizável; quando mal tratada, permite que um atacante embuta instruções maliciosas disfarçadas de conteúdo comum. A NVD classifica o problema sob o identificador CWE-502, referente à desserialização de dados não confiáveis. Esse tipo de falha é recorrente em plataformas que processam grande volume de objetos serializados, como ocorre em portais corporativos baseados no SharePoint.
No SharePoint, o resultado prático é a execução remota de código: o invasor executa seus próprios programas no servidor a partir de qualquer ponto da rede. O vetor CVSS 3.1 registrado é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando exploração pela rede, sem privilégios exigidos e sem interação do usuário. O impacto atinge confidencialidade, integridade e disponibilidade do servidor comprometido, o que em uma plataforma de gestão documental significa acesso a contratos, dados financeiros e registros de clientes e fluxos conectados a outros sistemas de negócio.
A gravidade máxima no CVSS reflete o cenário em que nenhum fator atenua o ataque: o alvo está acessível pela rede, o atacante não precisa de credenciais e não depende de ação do usuário. As versões mínimas seguras variam por edição, conforme o registro da NVD, e a aplicação das atualizações de julho de 2026 eleva o servidor ao nível corrigido em cada caso.
| Produto | Versão mínima segura |
|---|---|
| SharePoint Enterprise Server 2016 | 16.0.5556.1005 |
| SharePoint Server 2019 | 16.0.10417.20153 |
| SharePoint Server Subscription Edition | 16.0.19725.20384 |
O SharePoint funciona como repositório de conhecimento entre departamentos em muitas organizações. A execução não autorizada de código em um servidor desse tipo escala conforme a amplitude dos documentos e dos fluxos de trabalho hospedados, o que aumenta o impacto de um comprometimento bem-sucedido.
Revisão do status pela Microsoft
A Microsoft corrigiu a CVE-2026-58644 no Patch Tuesday de 14 de julho de 2026, dentro de um pacote recorde de atualizações mensais. O advisory inicial, porém, não sinalizava exploração ativa, e a gravidade da falha só foi reassinalada depois que evidências de ataques surgiram em ambientes reais. Nos registros de mudança da NVD, o avaliador da CISA alterou o campo de exploração SSVC de none para active em 16 de julho de 2026, reclassificando a falha como zero-day no momento do lançamento do patch.
Essa revisão é um desenvolvimento material: significa que atacantes dispunham de exploits funcionais para a falha de CVSS 9,8 antes de existir correção disponível em qualquer lugar. A janela entre o início da exploração e a disponibilização do patch é o período de zero-day, e a entrada no KEV confirma que essa janela foi usada contra alvos reais. Servidores que permaneceram sem atualização durante esse intervalo devem ser tratados como potencialmente comprometidos, não apenas como desatualizados.
A revisão por parte da Microsoft costuma resultar de inteligência de ameaças própria ou de informações compartilhadas por pesquisadores e parceiros governamentais que detectaram tráfego de exploit direcionado à falha antes do patch.
Campanha de quatro CVEs no SharePoint
A CVE-2026-58644 não é um caso isolado. Ela se junta a outras vulnerabilidades do SharePoint Server confirmadas como exploradas ativamente em julho de 2026, configurando uma campanha coordenada contra o produto. Quatro vulnerabilidades do SharePoint foram confirmadas como exploradas na mesma janela de campanha, segundo fontes que acompanharam a divulgação, e a CISA incluiu o conjunto no KEV em meados de julho. A expansão rápida de falhas confirmadas contra um único produto sugere alvo deliberado, e não coincidência, e coloca o SharePoint no centro das prioridades de correção deste ciclo.
A concentração de falhas confirmadas em um único produto dentro de poucos dias indica que os atacantes utilizaram múltiplas técnicas distintas de exploração, em vez de depender de um único vetor de ataque. A revisão do advisory da Microsoft para a CVE-2026-58644 fechou a lacuna entre as falhas já confirmadas e aquela que inicialmente parecia não estar sob ataque. Para equipes de defesa, isso muda a prioridade: não basta corrigir uma falha, é preciso tratar o SharePoint on-premises como um produto sob campanha ativa.
Prazo federal e exposição global
Sob a diretriz BOD 26-04 da CISA, agências federais devem aplicar as correções do fabricante ou desconectar os servidores afetados até 19 de julho de 2026. A diretriz exige ainda que cada organização avalie a exposição à internet de cada ativo afetado e cumpra os requisitos de triagem forense quando aplicável. Embora o prazo formal se aplique a redes do governo dos EUA, ele serve como referência objetiva para qualquer organização que opere SharePoint local, sobretudo as que mantêm servidores acessíveis pela internet.
A Shadowserver Foundation identificou cerca de 10 mil instâncias de SharePoint Server expostas à internet em escala global. Para organizações brasileiras que mantêm SharePoint local por soberania de dados ou conformidade regulatória, esse número traduz o tamanho real da superfície de ataque. Nesses casos, o cuidado operacional com aplicação de patches, revisão de acessos e monitoramento contínuo torna-se decisivo para evitar incidentes que disparam obrigações de notificação.
O que fazer agora
A correção segue um roteiro direto, com prioridade para os servidores expostos à internet: aplicar as atualizações de segurança de julho de 2026 da Microsoft para o SharePoint Server, rever as permissões de proprietário do site (Site Owner) e analisar os logs de acesso em busca de entradas fora do horário habitual ou de localizações desconhecidas. A lista abaixo detalha a sequência recomendada para conter o risco.
- Instalar de imediato as correções de julho de 2026 em todas as edições suportadas do SharePoint Server, priorizando os servidores acessíveis pela internet.
- Remover permissões desnecessárias de Site Owner, reduzindo a superfície de exploração.
- Revisar logs de acesso quanto a horários e localizações incomuns.
- Confirmar que apenas implantações on-premises estão no escopo.
Como a revisão do advisory mostra que a exploração precedeu a correção, servidores ainda sem atualização podem já estar comprometidos. Aplicar o patch encerra a janela de vulnerabilidade, mas não apaga rastros de um invasor que entrou antes. Por isso, a triagem forense e a validação de integridade devem acompanhar a correção antes de o incidente ser considerado encerrado.