A CISA incluiu a falha CVE-2026-58644 no catálogo Known Exploited Vulnerabilities em 16 de julho de 2026, apenas dois dias depois de a Microsoft liberar a correção no Patch Tuesday recorde de julho. Diferentemente da falha anterior do SharePoint corrigida em maio, esta é um zero-day de desserialização de dados não confiáveis no SharePoint Server on-premises, com nota CVSS 9,8, que permite a um invasor não autenticado executar código arbitrário pela rede. A agência americana deu apenas três dias, até 19 de julho, para órgãos federais corrigirem e exige triagem forense, porque a exploração ativa confirmada já vinha permitindo o roubo de chaves de máquina do IIS em servidores comprometidos.

Como o zero-day funciona

A descrição oficial da NVD não deixa ambiguidade: a desserialização de dados não confiáveis no Microsoft Office SharePoint permite que um atacante não autorizado execute código pela rede. O servidor reconstrói objetos a partir de dados externos sem validar o conteúdo; quando o pacote serializado é manipulado, o processamento termina executando lógica controlada pelo invasor. A vulnerabilidade é classificada como CWE-502 e o vetor CVSS 3.1 é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — ataque pela rede, baixa complexidade, sem privilégios exigidos, sem interação do usuário e impacto total sobre confidencialidade, integridade e disponibilidade. A combinação desses fatores resulta na nota 9,8.

A Microsoft publicou a correção em 14 de julho de 2026, dentro do maior Patch Tuesday da história do programa, e confirmou que a falha já estava sendo explorada na natureza antes de o patch existir. A entrada no catálogo KEV da CISA, em 16 de julho, transformou a recomendação de atualização em obrigação com prazo para órgãos federais americanos sob a diretiva BOD 26-04.

As versões atingidas são exclusivamente on-premises: SharePoint Enterprise Server 2016 (antes da build 16.0.5556.1005), SharePoint Server 2019 (antes da 16.0.10417.20153) e SharePoint Server Subscription Edition (antes da 16.0.19725.20384). O SharePoint Online, gerenciado pela Microsoft na nuvem, não é afetado. A tabela resume os limites de versão:

Versão Build corrigida (igual ou superior)
SharePoint Enterprise Server 2016 16.0.5556.1005
SharePoint Server 2019 16.0.10417.20153
SharePoint Server Subscription Edition 16.0.19725.20384

A CVE-2026-58644 é a quarta vulnerabilidade do SharePoint adicionada ao KEV somente em 2026, integrando uma campanha coordenada de exploração. As falhas anteriores — CVE-2026-32201, CVE-2026-45659 e CVE-2026-56164 — já estavam sob ataque ativo contra instâncias on-premises voltadas para a internet. Esse histórico mostra que o SharePoint virou alvo sistemático e que tratar cada CVE como bilhete isolado subestima o risco real.

A nuance do boletim da Microsoft

Há uma tensão importante entre a pontuação e o texto do aviso. A NVD registra o vetor com PR:N, ou seja, sem necessidade de privilégios, o que sustenta a nota 9,8. O próprio texto do advisory da Microsoft, porém, descreve um cenário em que um invasor autenticado como pelo menos Site Owner escreve código arbitrário e o executa remotamente no servidor. A diferença entre “sem privilégios” e “Site Owner” não é acadêmica: ela muda o modelo de ameaça e reforça que equipes de defesa devem planejar tanto para o cenário não autenticado quanto para o uso de credenciais roubadas.

A avaliação SSVC registrada pela CISA no registro da NVD classifica a exploração como ativa, a automação como possível e o impacto técnico como total. Em termos operacionais, isso significa que a exploração pode ser reproduzida de forma automatizada e que o controle do servidor comprometido é completo.

O roubo das chaves de máquina

Aplicar o patch fecha a porta, mas não remove o invasor que já entrou. A CISA alertou que a exploração ativa do SharePoint envolve atividades de pós-exploração, incluindo o roubo das chaves de máquina do Internet Information Services, técnicas adicionais de desserialização para manter persistência e a implantação de malware. Com as chaves de máquina IIS em mãos, um atacante consegue forjar tokens de sessão confiáveis e manter acesso mesmo depois de a vulnerabilidade original ter sido corrigida. Em ambientes com vários aplicativos ASP.NET no mesmo servidor, o roubo dessas chaves pode comprometer todo o conjunto, não apenas o SharePoint.

Por isso a orientação da CISA inverte a ordem intuitiva: antes de rotacionar as chaves de máquina, a equipe precisa caçar e remover artefatos de invasão. Rotacionar chaves enquanto uma ferramenta de coleta ainda reside no servidor apenas entrega as novas chaves ao atacante. A sequência correta é investigar, remover artefatos, rotacionar chaves e só então monitorar sinais renovados de atividade suspeita.

Detecção e correção em passos

A Microsoft e a CISA recomendam monitorar detecções específicas associadas à exploração observada do SharePoint. Entre elas estão as assinaturas do AMSI e do Microsoft Defender: Exploit:Script/SuspSignoutReqBody.A, que examina o corpo de requisições e bloqueia tentativas registradas, e Exploit:Script/ToolPaneAuthBypass.A, aplicável às versões 2016, 2019 e Subscription Edition. Ativar a integração do Antimalware Scan Interface em cada aplicação web do SharePoint é pré-requisito para que essas detecções funcionem. Até o momento, a CISA e a Microsoft não divulgaram indicadores de comprometimento baseados em rede, como endereços IP ou domínios, o que torna a detecção por assinatura e a auditoria de logs ainda mais centrais.

A escala do problema é visível em números: a organização Shadowserver, citada no aviso da CISA, rastreia cerca de 10 mil servidores SharePoint expostos à internet, com mais de 800 ainda sem correção para falhas anteriores já listadas no KEV. Cada instância voltada para a internet sem o patch é um alvo passível de comprometimento automatizado. Para contextualizar a priorização dentro do ciclo completo de correções, consulte a análise do Patch Tuesday de julho de 2026.

  1. Aplicar as atualizações de segurança de julho de 2026 em todos os servidores SharePoint on-premises afetados.
  2. Verificar o número de build de cada servidor da fazenda, não apenas do front-end.
  3. Confirmar que a integração do AMSI está ativa em todas as aplicações web do SharePoint.
  4. Caçar artefatos de invasão — web shells, ferramentas de coleta de chaves e processos filhos anômalos do w3wp.exe — antes de qualquer rotação de chaves.
  5. Rotacionar as chaves de máquina do IIS após a limpeza e validar o funcionamento das aplicações.
  6. Restringir a exposição à internet e bloquear o acesso externo à Administração Central do SharePoint.

Fontes