CVE-2026-58644: Falha HIGH no SharePoint com Exploração Ativa

Na manhã desta segunda-feira, 20 de julho de 2026, a comunidade de segurança da informação foi colocada em estado de alerta máximo com a confirmação de que a CVE-2026-58644 — uma vulnerabilidade de desserialização de dados não confiáveis no Microsoft SharePoint — entrou para o catálogo CISA KEV (Known Exploited Vulnerabilities) e está sendo ativamente explorada em campanhas reais contra organizações ao redor do mundo. A CVE-2026-58644 exploração ativa vulnerabilidade representa um risco imediato para qualquer empresa que utilize o SharePoint Server em sua infraestrutura, especialmente aquelas com exposição de rede ou configurações de baixa restrição de acesso.

O cenário é agravado pelo fato de que a Microsoft liberou um número recorde de correções neste mês — 622 vulnerabilidades no total, de acordo com o Patch Tuesday de julho de 2026 — e dentre elas duas zero-days estão sob ataque ativo, incluindo a CVE-2026-58644. O vetor de ataque, classificado como Network, permite que um atacante não autenticado execute código arbitrário remotamente no servidor SharePoint, comprometendo completamente a confidencialidade, integridade e disponibilidade dos dados corporativos. Para organizações que gerenciam dados sensíveis, propriedade intelectual ou informações reguladas por LGPD, GDPR, PCI-DSS ou HIPAA, a exposição é catastrófica.

Paralelamente, outras duas vulnerabilidades também foram adicionadas ao catálogo KEV hoje: CVE-2026-25089 e CVE-2026-39808, ambas afetando o Fortinet FortiSandbox com injeção de comandos no sistema operacional. Embora igualmente críticas, o foco deste alerta técnico é a CVE-2026-58644, dado o alcance massivo do ecossistema SharePoint — presente em mais de 200 mil organizações globalmente, incluindo governos, instituições financeiras, operadoras de saúde e indústrias de infraestrutura crítica.

A CVE-2026-58644 exploração ativa vulnerabilidade elimina qualquer janela de respiro que as equipes de segurança poderiam esperar. Não se trata mais de uma correção planejada para o próximo ciclo de patch management: a falha já está em uso por grupos de ameaça, e cada hora sem mitigação aumenta exponencialmente a probabilidade de comprometimento. Neste artigo, vamos dissecar tecnicamente a vulnerabilidade, entender como o ataque funciona, mapear os produtos e versões afetados, fornecer um passo a passo completo de mitigação e verificação pós-patch, além de contextualizar o incidente no cenário mais amplo de ameaças de julho de 2026.

O que é a CVE-2026-58644 e por que a exploração ativa preocupa

A CVE-2026-58644 é oficialmente descrita como uma vulnerabilidade de desserialização de dados não confiáveis (CWE-502) no Microsoft SharePoint Server. Em termos práticos, o SharePoint recebe e processa dados serializados — estruturas de dados convertidas em formatos transportáveis como XML, JSON ou binários — e, durante o processo de desserialização, reconstrói objetos na memória do servidor. O problema surge quando o mecanismo de desserialização não valida adequadamente a origem ou a integridade desses dados, permitindo que um atacante injete objetos maliciosos que, ao serem reconstruídos, executam código arbitrário no contexto do serviço SharePoint.

O que torna essa vulnerabilidade particularmente perigosa é o fato de que não exige autenticação prévia. Um atacante pode explorar a falha remotamente, via rede, enviando payloads cuidadosamente elaborados para endpoints vulneráveis do SharePoint. Uma vez que o código malicioso é executado, o atacante ganha controle sobre o servidor, podendo exfiltrar dados, instalar backdoors, mover-se lateralmente na rede corporativa ou estabelecer persistência para acesso futuro. A CVE-2026-58644 exploração ativa vulnerabilidade já foi observada em ambientes de produção, com relatos de incidentes sendo investigados por equipes de resposta a incidentes em múltiplos setores verticais.

O ecossistema SharePoint é profundamente integrado ao Microsoft 365, Active Directory e outras ferramentas de colaboração empresarial. Um comprometimento do servidor SharePoint não afeta apenas documentos e listas — ele pode expor credenciais armazenadas, tokens de autenticação, sessões ativas e servir como trampolim para ataques contra controladores de domínio, servidores de e-mail e bancos de dados corporativos. A superfície de ataque é vasta, e o impacto potencial justifica o nível de urgência máxima que estamos comunicando.

Detalhamento técnico: a raiz do problema na desserialização do SharePoint

Para compreender profundamente a CVE-2026-58644, é necessário entender o mecanismo de serialização e desserialização no contexto do .NET Framework, sobre o qual o SharePoint é construído. A serialização é o processo de converter um objeto em um fluxo de bytes para armazenamento ou transmissão. A desserialização reverte esse fluxo de bytes de volta para um objeto utilizável. Em aplicações corporativas como o SharePoint, esse mecanismo é amplamente utilizado para comunicação entre componentes, persistência de estado, caching de objetos e processamento de requisições web.

A vulnerabilidade surge quando o SharePoint utiliza um desserializador — como o BinaryFormatter, NetDataContractSerializer ou LosFormatter — sem impor restrições de tipo (type filtering) ou validação de origem. Na ausência dessas proteções, um atacante pode forjar um payload que, ao ser desserializado, instancia objetos de classes perigosas disponíveis no ambiente (os chamados “gadgets”). Esses gadgets, quando encadeados, permitem a execução de comandos arbitrários no sistema operacional subjacente.

O vetor de rede é particularmente preocupante porque o SharePoint, por padrão, expõe diversos endpoints HTTP/HTTPS que aceitam dados serializados — incluindo Web Services, APIs REST e componentes de integração com Office Online Server e Workflow Manager. Um atacante não autenticado pode enviar requisições HTTP POST contendo ViewState malicioso, pacotes SOAP manipulados ou payloads JSON/XML para endpoints como /_vti_bin/client.svc, /_layouts/15/ ou outros pontos de integração que processam dados serializados.

Durante a Zero Day Initiative de julho de 2026, pesquisadores demonstraram que a exploração bem-sucedida não deixa necessariamente rastros óbvios nos logs padrão do SharePoint. Como a execução ocorre no contexto do pool de aplicações IIS (w3wp.exe), as atividades maliciosas podem ser mascaradas como tráfego legítimo, dificultando a detecção por sistemas de monitoramento convencionais. Esse fator, combinado com a confirmação de exploração ativa pela CISA, eleva a severidade prática da vulnerabilidade muito além do score CVSS 8.1 nominal.

Produtos, versões e configurações afetadas pela CVE-2026-58644

A lista oficial de produtos afetados, conforme divulgado pela Microsoft e corroborado pela CISA, abrange três gerações do SharePoint Server on-premises. É crucial notar que o SharePoint Online (Microsoft 365) não é afetado por esta vulnerabilidade específica, uma vez que a Microsoft aplica patches automaticamente em sua infraestrutura cloud. No entanto, ambientes híbridos que utilizam SharePoint Server on-premises conectado ao Microsoft 365 permanecem vulneráveis no lado local. A CVE-2026-58644 exploração ativa vulnerabilidade afeta especificamente:

• 🟠 Microsoft SharePoint Server Subscription Edition — Todas as builds anteriores à atualização de segurança de julho de 2026 (KB5121767). A versão Subscription é a sucessora do SharePoint 2019 e recebe atualizações contínuas; entretanto, ambientes sem o patch acumulativo mais recente estão expostos.
• 🟠 Microsoft SharePoint Server 2019 — Todas as edições (Standard e Enterprise) com Service Packs e Cumulative Updates (CU) anteriores a julho de 2026. O SharePoint 2019 é amplamente utilizado em organizações que migraram do 2016 mas ainda não adotaram a versão Subscription.
• 🟠 Microsoft SharePoint Server 2016 — Todas as edições com pacotes de atualização anteriores ao patch de segurança de julho de 2026. Importante: o SharePoint 2016 está em fase de extended support, e muitas organizações atrasam a migração, tornando-o um alvo preferencial para atacantes.
• 🟡 Componentes relacionados — Embora não listados diretamente, instalações que utilizam Microsoft SQL Server Reporting Services (SSRS) integrado ao SharePoint, Project Server ou workflows baseados em Windows Workflow Foundation podem servir como vetores indiretos de exploração, especialmente se compartilharem os mesmos mecanismos de serialização.

Configurações que aumentam significativamente o risco de exploração incluem: SharePoint exposto diretamente à internet sem proteção de Application Gateway, Web Application Firewall (WAF) ou VPN; uso de autenticação NTLM em vez de Kerberos ou SAML/OAuth moderno; permissões excessivas concedidas a contas de serviço (como a conta de farm); e falta de segmentação de rede que permita que um servidor SharePoint comprometido alcance controladores de domínio ou servidores de banco de dados sem restrições.

Como o ataque funciona na prática — etapas do processo de exploração

Embora não possamos divulgar código de exploração funcional por razões éticas e de segurança, é fundamental que profissionais de TI e equipes de segurança entendam a mecânica do ataque para implementar defesas eficazes. A CVE-2026-58644 exploração ativa vulnerabilidade segue um padrão típico de ataques de desserialização .NET, que descrevemos conceitualmente abaixo:

1. Reconhecimento e fingerprinting: O atacante identifica servidores SharePoint acessíveis via internet ou rede interna, utilizando ferramentas de scanning ou consultas a mecanismos de busca como Shodan. A versão do SharePoint pode ser inferida por cabeçalhos HTTP, respostas de APIs REST ou análise de caminhos de recursos estáticos (como /_layouts/15/core.js).
2. Identificação de endpoints vulneráveis: O atacante mapeia endpoints que aceitam dados serializados — por exemplo, serviços ASMX legados, endpoints WCF ou manipuladores HTTP que processam ViewState sem validação adequada de assinatura.
3. Construção do payload malicioso: Utilizando conhecimento sobre os tipos de gadgets disponíveis no .NET Framework e bibliotecas carregadas pelo SharePoint (como System.Web, System.Workflow ou Microsoft.SharePoint internals), o atacante cria uma cadeia de desserialização que resulta em execução de comando. Ferramentas como ysoserial.net são conhecidas por automatizar essa etapa.
4. Entrega do payload via HTTP POST: O payload é encapsulado no formato esperado (ViewState codificado em base64, XML SOAP, JSON) e enviado como corpo de uma requisição HTTP POST para o endpoint vulnerável. A requisição pode ser mascarada com User-Agent legítimo e outros cabeçalhos comuns.
5. Execução do código arbitrário: O SharePoint, ao desserializar o payload sem validação, instancia a cadeia de gadgets que culmina na execução de um comando shell — tipicamente para baixar e executar um beacon C2 (Command and Control) como Cobalt Strike, PowerShell Empire ou malware personalizado.
6. Pós-exploração e persistência: Com acesso ao servidor comprometido, o atacante realiza enumeração do ambiente, coleta de credenciais (dump de LSASS, tokens de autenticação), movimento lateral via SMB/RDP/WinRM e estabelece persistência através de tarefas agendadas, serviços ou web shells disfarçados como arquivos legítimos do SharePoint.

As campanhas conhecidas que exploram vulnerabilidades de desserialização no SharePoint historicamente incluem grupos de ameaça como APTs patrocinadas por estados-nação (especialmente as que visam propriedade intelectual e dados governamentais) e grupos de ransomware que utilizam o SharePoint como ponto de entrada inicial para depois distribuir cargas de criptografia pela rede. Embora a atribuição específica para a CVE-2026-58644 ainda esteja sob investigação, os indicadores de comprometimento observados sugerem alinhamento com táticas de grupos que visam os setores financeiro, saúde e infraestrutura crítica.

Impacto real para empresas: além do técnico, as consequências de negócio

O impacto da CVE-2026-58644 exploração ativa vulnerabilidade transcende a esfera técnica e atinge diretamente a continuidade operacional, a reputação e a situação regulatória das organizações afetadas. Um servidor SharePoint comprometido geralmente é o repositório central de documentos estratégicos, contratos, registros financeiros, informações de recursos humanos e dados de projetos confidenciais. O vazamento desses dados pode resultar em:

• 🔴 Perda de propriedade intelectual: Fórmulas, códigos-fonte, designs de produtos e estratégias de negócio podem ser exfiltrados silenciosamente e vendidos para concorrentes ou utilizados por nações concorrentes.
• 🔴 Violação de compliance: Dados pessoais armazenados em bibliotecas do SharePoint estão sujeitos à LGPD (Lei 13.709/2018) no Brasil, ao GDPR na Europa e a regulações setoriais como PCI-DSS para dados de pagamento e HIPAA para informações de saúde. Uma violação de dados decorrente da exploração dessa vulnerabilidade pode acarretar multas severas — até 2% do faturamento limitado a R$ 50 milhões por infração na LGPD, ou 4% do faturamento global anual sob GDPR.
• 🔴 Paralisação operacional: Em cenários de ransomware, os atacantes podem criptografar não apenas o conteúdo do SharePoint, mas também bancos de dados SQL associados, backups locais e servidores de arquivos, resultando em downtime prolongado que pode custar milhões por hora em setores como manufatura, logística e serviços financeiros.
• 🟠 Dano reputacional: Clientes, parceiros e investidores reagem negativamente a incidentes de segurança pública, especialmente quando dados confidenciais são expostos. A perda de confiança pode ser irreversível para muitas organizações.

Além disso, o SharePoint frequentemente atua como plataforma de integração para aplicações de negócios críticas — ERPs, CRMs, sistemas de gestão documental e portais de autoatendimento. Um comprometimento pode se propagar rapidamente para esses sistemas, amplificando o raio de dano. Na JRT Technology Solutions, monitoramos alertas CISA KEV em tempo real através de nosso SOC e implementamos varredura contínua de CVEs para frotas corporativas, identificando exatamente quais ativos estão expostos a ameaças como a CVE-2026-58644 antes que os atacantes possam agir.

Cenário de ameaças de julho de 2026: um Patch Tuesday recorde

Para contextualizar a gravidade do momento, o Patch Tuesday de julho de 2026 estabeleceu um novo recorde com 622 vulnerabilidades corrigidas pela Microsoft em um único ciclo mensal, superando o recorde anterior de julho de 2024. Dentre essas, múltiplas vulnerabilidades receberam atenção imediata da comunidade de segurança. Além da CVE-2026-58644, outras falhas críticas que estão sendo ativamente exploradas incluem:

• 🟠 CVE-2026-25089 e CVE-2026-39808 — Duas vulnerabilidades de injeção de comandos no Fortinet FortiSandbox (incluindo versões Cloud e PaaS) que permitem execução remota de código não autenticada via requisições HTTP manipuladas. Ambas foram adicionadas ao catálogo CISA KEV hoje e exigem ação imediata de organizações que utilizam a plataforma FortiSandbox para análise de ameaças.
• 🟠 CVE-2026-32201 e CVE-2026-45659 — Vulnerabilidades no SharePoint Server adicionais que também estão sob investigação por exploração ativa, conforme FAQ publicado pelo Research Special Operations da Microsoft.
• 🟡 CVE-2026-56164 — Outra falha no SharePoint Server mencionada no mesmo aviso, possivelmente relacionada à mesma classe de desserialização, indicando que a superfície de ataque do SharePoint foi amplamente visada neste ciclo.

Paralelamente, a SonicWall emitiu alerta sobre vulnerabilidades zero-day no SMA1000 sendo exploradas em ataques ativos, e a Zoom corrigiu uma falha crítica de sequestro de conta. A convergência de múltiplas ameaças no mesmo período cria uma tempestade perfeita para equipes de segurança sobrecarregadas, reforçando a necessidade de priorização inteligente baseada em inteligência de ameaças — exatamente o tipo de suporte que a JRT Technology Solutions entrega a seus clientes corporativos.

Como se proteger — Passos de mitigação para a CVE-2026-58644

Diante da confirmação de exploração ativa, as organizações devem tratar a remediação da CVE-2026-58644 como prioridade máxima de segurança. Abaixo, apresentamos um plano de ação detalhado, sequencial e testado em campo para conter a ameaça e restaurar a segurança dos servidores SharePoint afetados. A CVE-2026-58644 exploração ativa vulnerabilidade exige que cada etapa seja executada com rapidez, mas sem atropelar verificações críticas que podem fazer a diferença entre uma correção bem-sucedida e um falso senso de segurança.

1. Isolar servidores potencialmente comprometidos: Imediatamente, restrinja o acesso de rede aos servidores SharePoint que ainda não foram patchados. Remova regras de NAT público, restrinja regras de firewall para permitir apenas IPs administrativos confiáveis e, se possível, desconecte temporariamente o servidor da rede corporativa enquanto a correção é preparada. Este é o primeiro passo crítico para interromper uma exploração em andamento.
2. Aplicar o patch de segurança de julho de 2026: A Microsoft disponibilizou o patch para a CVE-2026-58644 no ciclo de atualizações de 14 de julho de 2026. Baixe e instale o Cumulative Update mais recente para sua versão do SharePoint:
   • SharePoint Server Subscription Edition: Instalar a atualização de segurança de julho de 2026 via Microsoft Update ou catálogo offline.
   • SharePoint Server 2019: Instalar o CU de julho de 2026 (KB5121767) e todas as dependências de linguagem.
   • SharePoint Server 2016: Instalar o pacote de segurança de julho de 2026, respeitando a ordem de instalação (binários do SharePoint primeiro, depois pacotes de idioma).

   Importante: execute o SharePoint Products Configuration Wizard em todos os servidores do farm após a instalação do patch. A falha em concluir este passo deixa o servidor em estado inconsistente e ainda vulnerável.

3. Verificar integridade do farm: Após o patch, execute o Test-SPContentDatabase contra todas as bases de conteúdo para garantir que não há corrupção ou inconsistências. Monitore os logs ULS (Unified Logging Service) em busca de erros de desserialização ou atividades suspeitas residuais.
4. Implementar controles de segurança adicionais: O patch corrige a vulnerabilidade, mas defesas em profundidade são essenciais para prevenir explorações futuras de falhas similares:
   • Configure um Web Application Firewall (WAF) na frente do SharePoint, com regras para inspecionar e bloquear payloads de desserialização — patterns de Base64 anômalos, tamanhos de ViewState excessivos e assinaturas de ferramentas como ysoserial.net.
   • Habilite restrições de tipo no SerializationBinder se estiver utilizando código personalizado que realiza desserialização. A Microsoft recomenda migrar de BinaryFormatter para serializadores mais seguros como System.Text.Json.
   • Implemente Network Level Authentication (NLA) e autenticação multifator (MFA) para todos os acessos administrativos ao SharePoint.
   • Realize segmentação de rede: coloque servidores SharePoint em VLANs isoladas, com regras estritas de firewall limitando comunicação apenas a serviços estritamente necessários (SQL Server, controladores de domínio, servidores de e-mail).
5. Realizar varredura de indicadores de comprometimento (IOCs): Mesmo após o patch, servidores que estavam expostos antes da correção devem ser minuciosamente inspecionados. Procure por:
   • Processos w3wp.exe com conexões de rede suspeitas (especialmente para IPs externos em portas não usuais).
   • Arquivos .aspx, .ashx ou .asmx recém-criados em diretórios do SharePoint (como /_layouts/, /_controltemplates/, ou /wpresources/).
   • Tarefas agendadas ou serviços Windows desconhecidos.
   • Entradas no Event Viewer indicando logons anômalos ou criação de contas de usuário.
   • Modificações no web.config ou machine.config que possam indicar persistência.

   Na JRT Technology Solutions, utilizamos varredura contínua de CVEs para frotas