A CISA adicionou a falha CVE-2026-58644 ao catálogo Known Exploited Vulnerabilities em 16 de julho de 2026. A Microsoft confirmou exploração ativa do zero-day antes do Patch Tuesday de julho, o que significa que atacantes já exploravam a falha antes de uma correção estar disponível. A vulnerabilidade carrega pontuação CVSS 9,8 e permite execução remota de código pela rede sem autenticação em todas as versões suportadas do SharePoint Server local. O prazo federal de três dias para aplicação da correção reflete a gravidade de uma falha que entrega controle total do servidor a partir de uma única requisição HTTP. Servidores SharePoint frequentemente armazenam contratos, documentos de recursos humanos, registros financeiros e segredos de integração, o que eleva o impacto de um comprometimento bem-sucedido. Para contexto sobre prioridades do ciclo, consulte a análise sobre a ordem de correção do Patch Tuesday de julho.

Como o exploit funciona

A CVE-2026-58644 é classificada como desserialização de dados não confiáveis (CWE-502) em funções web centrais do SharePoint. O registro da NVD descreve a falha como permitindo que um atacante não autorizado execute código sobre a rede, sem exigir credenciais, privilégios prévios ou interação do usuário. A combinação de vetor de acesso pela rede, ausência de privilégios e nenhuma interação do usuário resulta no vetor CVSS AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que a Microsoft pontua em 9,8 de 10. Na prática, uma única requisição HTTP dirigida a um servidor SharePoint exposto à internet é suficiente para disparar a execução de código arbitrário no host. A baixa complexidade do ataque, confirmada pelo componente AC:L do vetor, aumenta a probabilidade de varredura automatizada e weaponização em escala. Falhas de desserialização são particularmente perigosas porque o servidor processa dados controlados pelo atacante de forma a criar objetos e acionar caminhos de código que jamais deveriam executar. O impacto sobre confidencialidade, integridade e disponibilidade é total, conforme indicado pelos três componentes C:H/I:H/A:H do vetor.

Campanha contra o SharePoint

A CVE-2026-58644 é o episódio mais grave de uma campanha coordenada que coloca o SharePoint Server como alvo preferencial em 2026. Somente neste ano, a CISA listou quatro falhas do SharePoint no KEV: CVE-2026-32201, spoofing por validação imprópria de entrada, adicionada em 14 de abril; CVE-2026-45659, execução remota de código por desserialização de dados não confiáveis, em 1º de julho; CVE-2026-56164, elevação de privilégio por ausência de autenticação em função crítica, em 14 de julho; e CVE-2026-58644, execução remota de código por desserialização, em 16 de julho. O BleepingComputer observa que desde novembro de 2021 a CISA registrou 11 vulnerabilidades do SharePoint exploradas em ataques reais, sete das quais ligadas a campanhas de ransomware. A recorrência de exploração demonstra que a janela entre divulgação e correção continua sendo o fator decisivo para a segurança desses ambientes. O padrão confirma que os atacantes não dependem de um único bug, mas tratam o SharePoint como plataforma de ataque sistemática, explorando falhas encadeadas de spoofing, execução de código e elevação de privilégio para obter acesso profundo e persistente.

Pós-exploração e roubo de chaves

A atividade observada após o comprometimento segue um roteiro consistente documentado pela CISA. O alerta da agência descreve que atacantes combinam as vulnerabilidades do SharePoint para roubar chaves de máquina do IIS, aplicar técnicas de desserialização para estabelecer persistência e implantar malware nos servidores comprometidos. As chaves de máquina do IIS são usadas pelo ASP.NET para criptografar, descriptografar e validar tokens de sessão e outros dados sensíveis. Com uma chave roubada, o atacante pode forjar tokens de sessão válidos, autenticar-se como qualquer usuário, incluindo administradores, e iniciar ataques adicionais contra qualquer aplicação no mesmo servidor que confie naquela chave. A CISA adverte que a rotação isolada das chaves não elimina o problema: artefatos de intrusão, como harvesters de chaves, precisam ser removidos antes da rotação, sob risco de as novas chaves serem roubadas novamente. O backdoor identificado como Backdoor:MSIL/LeakFang.A, detectado pelo Microsoft Defender Antivirus, alerta especificamente sobre acesso não autorizado a segredos protegidos pelo IIS. A persistência pode sobreviver a redefinições de senha, pois tokens forjados continuam válidos enquanto a chave comprometida estiver em uso.

Versões afetadas pelo exploit

A falha afeta as versões suportadas do SharePoint Server local: Subscription Edition, em builds anteriores a 16.0.19725.20434; Server 2019, anterior a 16.0.10417.20175; e Enterprise Server 2016, anterior a 16.0.5561.1001. O SharePoint Online, gerenciado pela Microsoft na nuvem, não está no escopo. As versões 2016 e 2019 atingiram o fim do suporte estendido em 14 de julho de 2026, mesmo dia do lançamento da correção. Organizações com essas versões operam software sem suporte, restando a Subscription Edition como única opção local com cobertura completa. As atualizações do SharePoint são entregues pelo processo de manutenção próprio do produto, e instalar apenas a atualização cumulativa do Windows não corrige o farm. Cada servidor do farm precisa receber e validar a atualização específica do SharePoint, pois o servicing incompleto pode deixar um farm multi-servidor exposto mesmo durante a aplicação das correções.

Blindagem do servidor SharePoint

A CISA recomenda um conjunto de medidas para reduzir o risco em servidores SharePoint locais. A primeira ação é aplicar as atualizações de segurança de julho de 2026 e confirmar a instalação bem-sucedida em cada servidor do farm. A agência também recomenda habilitar a integração AMSI (Antimalware Scan Interface) no modo Full, permitindo que o Microsoft Defender inspecione corpos de requisições associados a tentativas de exploração. As assinaturas de detecção publicadas incluem Exploit:Script/SuspSignoutReqBody.A, para varredura de corpo de requisição no SharePoint Subscription Edition, e Exploit:Script/ToolPaneAuthBypass.A, para varredura de cabeçalho nas versões 2016, 2019 e Subscription Edition. A exposição direta do SharePoint à internet deve ser evitada; quando necessária, o servidor deve ficar atrás de um proxy reverso na camada 7 com autenticação e inspeção de requisições. Para aprofundar a estratégia de defesa, consulte este guia sobre controles essenciais contra ransomware.

Prioridade Ação Justificativa
1 Aplicar patch de julho de 2026 Fecha a falha de desserialização
2 Habilitar AMSI em modo Full Detecta payloads nas requisições
3 Remover exposição à internet Reduz vetores de ataque remoto
4 Revisar logs de IIS e SharePoint Identifica exploração anterior
5 Rotacionar chaves IIS após limpeza Invalida tokens forjados

Fontes