A CISA adicionou o CVE-2026-58644 ao seu catálogo Known Exploited Vulnerabilities (KEV) em 16 de julho de 2026, depois de confirmar que a falha de execução remota de código no Microsoft SharePoint Server estava sendo explorada na natureza. Com pontuação CVSS 9,8, a vulnerabilidade de desserialização afeta versões on-premises do produto e impõe às agências federais americanas um prazo até 19 de julho para aplicar as correções ou isolar os servidores afetados. O cenário pressiona empresas que mantêm SharePoint local, sobretudo as que adiaram correções de falhas semelhantes no SharePoint em ciclos anteriores.
Detalhes do CVE-2026-58644
A falha é classificada como desserialização de dados não confiáveis (CWE-502), com pontuação CVSS 9,8 na escala 3.1. Em termos práticos, o SharePoint reconstrói objetos a partir de dados externos sem validar o conteúdo de forma adequada, e o processamento desses dados termina executando lógica controlada pelo atacante. Trata-se da mesma classe de problema observada na cadeia ToolShell de 2025, quando atacantes roubavam chaves de máquina para forjar dados confiáveis. Em um ataque baseado em rede, um invasor autenticado com permissão mínima de Site Owner consegue gravar código arbitrário e executá-lo remotamente no servidor SharePoint. A complexidade do ataque é baixa: não exige conhecimento prévio do alvo, não requer interação do usuário e o payload é repetível, o que permite a scanners automatizados varrer milhares de instâncias expostas em poucas horas.
Versões afetadas e prazos
As versões afetadas são Microsoft SharePoint Enterprise Server 2016, SharePoint Server 2019 e SharePoint Server Subscription Edition. O SharePoint Online, dentro do Microsoft 365, não é impactado por essa classe de falha — apenas implantações on-premises, gerenciadas pelo próprio cliente, estão no escopo. A Microsoft liberou as correções no Patch Tuesday de 14 de julho de 2026.
| Versão afetada | CVSS | Prazo federal |
|---|---|---|
| SharePoint Server Subscription Edition | 9,8 | 19 de julho de 2026 |
| SharePoint Server 2019 | 9,8 | 19 de julho de 2026 |
| SharePoint Enterprise Server 2016 | 9,8 | 19 de julho de 2026 |
A diretiva BOD 26-04 da CISA exige que agências federais apliquem as mitigações conforme as instruções do fabricante e cumpram os requisitos de triagem forense. O prazo de remediação para a CVE-2026-58644 é 19 de julho de 2026, contado a partir da inclusão no KEV. Organizações privadas não estão vinculadas ao prazo federal, mas devem tratar a entrada no KEV como sinal de correção imediata.
Por que a falha é crítica
A Microsoft recomenda monitorar detecções do Defender e da AMSI e iniciar procedimentos de resposta a incidentes caso artefatos de exploração sejam detectados. Entre as assinaturas relevantes estão Exploit:Script/SuspSignoutReqBody.A, que faz varredura do corpo da requisição, e Exploit:Script/ToolPaneAuthBypass.A, aplicável às versões 2016, 2019 e Subscription Edition. Servidores SharePoint on-premises concentram documentos confidenciais, contratos e integrações corporativas, o que amplia o impacto de qualquer comprometimento. Organizações devem avaliar a exposição à internet de cada servidor SharePoint afetado. Monitoramentos independentes rastreiam aproximadamente 10 mil instâncias expostas globalmente.
Exploração confirmada e zero-day
A inclusão no KEV confirma que a exploração não é teórica. A Microsoft inicialmente registrou a falha como de exploração mais provável no Patch Tuesday de 14 de julho, e a CISA a incluiu no KEV no dia seguinte com base em evidências de ataques reais. A empresa revisou o boletim para confirmar que a exploração havia sido detectada antes da disponibilização dos patches, o que reclassifica a falha formalmente como zero-day. A CVE-2026-58644 se soma a outras três falhas do SharePoint confirmadas como exploradas na mesma janela de campanha — um padrão já observado nos ataques ToolShell de 2025, quando um zero-day CVSS 9,8 deu acesso total a servidores sem autenticação.
Impacto para empresas brasileiras
O Brasil tem milhares de organizações com SharePoint on-premises para gestão documental e colaboração interna. Organizações brasileiras que mantêm SharePoint Server nas próprias instalações precisam verificar imediatamente se as correções de julho foram aplicadas. Setores como finanças e saúde operam sob a LGPD e correm risco duplo: perda de dados e não conformidade. A exigência de autenticação não é proteção suficiente, porque permissões de membro são amplamente distribuídas e credenciais roubadas circulam em fóruns clandestinos.
Como responder agora
A CISA orienta a aplicar as correções do fabricante e a documentar todas as etapas de avaliação e remediação. A sequência correta importa tanto quanto o próprio patch:
- Inventariar todas as instâncias on-premises do SharePoint Server, incluindo servidores de aplicação, farms e nós não expostos diretamente à internet, pois sistemas internos também podem servir de ponto de entrada.
- Aplicar as atualizações de segurança de julho de 2026 da Microsoft para todas as versões afetadas, priorizando os servidores com exposição à internet.
- Confirmar que a integração AMSI está habilitada para cada aplicação web do SharePoint.
- Procurar artefatos de invasão, como web shells, arquivos suspeitos depositados em diretórios do SharePoint e tarefas agendadas inesperadas.
- Remover artefatos maliciosos antes de rotacionar as chaves de máquina do IIS, para que atacantes não roubem as novas chaves imediatamente após a rotação.
- Restringir a exposição do SharePoint à internet, bloquear o acesso externo à Administração Central e revisar regras de firewall legadas que permanecem abertas sem necessidade de negócio.
Fontes
- CISA — Known Exploited Vulnerabilities Catalog
- Rapid7 — CVE-2026-58644: SharePoint RCE Exploited in the Wild
- Security Affairs — CISA adds FortiSandbox and SharePoint flaws to KEV
- Vulert — CISA Adds SharePoint RCE Zero-Day CVE-2026-58644 to KEV
- Daily Security Review — CISA Adds SharePoint CVE-2026-58644 to KEV
- Security Online — CISA KEV Adds 3 Actively Exploited RCE Flaws