Alerta crítico: CVE-2026-58644 no SharePoint on-premises já explorado, adesivo obrigatório e guia de mitigação

A Agência de Segurança de Infra-estruturas e Cibersegurança dos EUA ( CISA) colocou a vulnerabilidade crítica CVE-2026-58644 em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), com a obrigação para as agências federais de aplicar adesivos antes do 19 de Julho de. Microsoft publicou as correções dentro do Patch Tuesday 14 de Julho de 2026 Tecnicamente, a falha tem um escore CVSS de 9.8 e é especialmente perigosa por duas razões: a complexidade de exploração é baixa e o atacante não precisa de um conhecimento profundo do ambiente para obter resultados repetiveis. Afecta as versões on-premises do SharePoint Server (Subscription Edition, 2019 e 2016), e soma-se a outras vulnerabilidades do SharePoint que CISA tem relatado como ativamente exploradas, ampliando o risco para instâncias locais que estão expostas ou mal segmentadas. O fato de CISA ter incluído este CVE no seu catálogo KEV implica um mandato operacional para organismos federais e um sinal de alarme para o resto de organizações: quando a vulnerabilidade aparece em KEV costuma significar que o risco real é iminente e que os atacantes já estão usando para intrusões, exfiltração e estabelecimento de persistência. Além de CVE-2026-58644, a agência chamou a atenção para outras falhas no SharePoint e, em paralelo, acrescentou vulnerabilidades críticas de Fortinet FortiSandbox ao catálogo, o que demonstra que o panorama de exploração ativa é amplo e multifacético. Você pode consultar o registo do CISA no seu catálogo KEV para confirmar as datas e detalhes: CVE-2026-58644 no catálogo KEV de CISA. Se você gerir o SharePoint on-premises, as primeiras ações devem ser imediatas: aplicar os adesivos oficiais publicados pela Microsoft e verificar sua instalação correta em todos os servidores do fazendeiro (farm). A Microsoft mantém um guia de atualização e a entrada de segurança correspondente onde os adesivos e mitigações são descritos; verifique a ajuda a entender quais componentes são corrigidos e quais passos adicionais são recomendados: Aviso de segurança da Microsoft para CVE-2026-58644. É importante insistir que o SharePoint Online não corre por conta do administrador on-premises, pelo que as implicações e responsabilidades são diferentes entre a nuvem e servidores locais. Para além de aplicar adesivos, a CISA e a Microsoft recomendam uma série de reforços concretos: habilitar a integração com o Antimalware Scan Interface (AMSI) em cada aplicação web do SharePoint, procurar e limpar artefatos de intrusão antes de rodar chaves IIS (para evitar que atacantes roben e voltem a usá-los), limitar a exposição de servidores à Internet e bloquear o acesso externo ao SharePoint Central Administration. Também é crítico revisar a telemetria(logs de IIS, registros de eventos do SharePoint e de segurança, tráfego saliente incomum) para detectar cargas úteis, web shells ou movimentos laterais, e manter evidências antes de realizar mudanças que possam destruir indicadores forenses. Para equipes de resposta e liderança TI, a recomendação estratégica é clara: assumir um modelo "patch fast, verify faster". Isso significa encurtar ciclos de adesivo quando se trata de falhas críticas, automatizar implantaçãos e verificações, contar com cópias de segurança testadas e planos de recuperação, e, se possível, aplicar segmentação de rede e controles de acesso que reduzam o blast radius em caso de exploração. Se detectar sinais de compromisso, active procedimentos de containment e forense, considere a rotação de chaves e senhas afectadas, e, se for caso disso, comunique às autoridades competentes e aos seus fornecedores de segurança. Finalmente, para organizações não federais a lição é prática: não espere que uma vulnerabilidade apareça em um catálogo oficial para priorizar. A combinação de exploits ativos, baixa complexidade de ataque e capacidades de pós-explotação (como roubo de machine keys e persistência por deserialização) converte estas vulnerabilidades em vetores de intrusão altamente lucrativos para atacantes. Blindar os pontos de entrada, manter processos de adesivo e visibilidade em produção é a defesa mais efetiva hoje. Para mais detalhes sobre endurecimento e melhores práticas do SharePoint Server, você pode consultar a documentação oficial da Microsoft sobre segurança para SharePoint Server: Guia de Segurança do SharePoint Server na Microsoft Learn.

Tecnicamente, a falha tem um escore CVSS de 9.8 e é especialmente perigosa por duas razões: a complexidade de exploração é baixa e o atacante não precisa de um conhecimento profundo do ambiente para obter resultados repetiveis. Afecta as versões on-premises do SharePoint Server (Subscription Edition, 2019 e 2016), e soma-se a outras vulnerabilidades do SharePoint que CISA tem relatado como ativamente exploradas, ampliando o risco para instâncias locais que estão expostas ou mal segmentadas.

O fato de CISA ter incluído este CVE no seu catálogo KEV implica um mandato operacional para organismos federais e um sinal de alarme para o resto de organizações: quando a vulnerabilidade aparece em KEV costuma significar que o risco real é iminente e que os atacantes já estão usando para intrusões, exfiltração e estabelecimento de persistência. Além de CVE-2026-58644, a agência chamou a atenção para outras falhas no SharePoint e, em paralelo, acrescentou vulnerabilidades críticas de Fortinet FortiSandbox ao catálogo, o que demonstra que o panorama de exploração ativa é amplo e multifacético. Você pode consultar o registo do CISA no seu catálogo KEV para confirmar as datas e detalhes: CVE-2026-58644 no catálogo KEV de CISA.

Se você gerir o SharePoint on-premises, as primeiras ações devem ser imediatas: aplicar os adesivos oficiais publicados pela Microsoft e verificar sua instalação correta em todos os servidores do fazendeiro (farm). A Microsoft mantém um guia de atualização e a entrada de segurança correspondente onde os adesivos e mitigações são descritos; verifique a ajuda a entender quais componentes são corrigidos e quais passos adicionais são recomendados: Aviso de segurança da Microsoft para CVE-2026-58644. É importante insistir que o SharePoint Online não corre por conta do administrador on-premises, pelo que as implicações e responsabilidades são diferentes entre a nuvem e servidores locais.

Para além de aplicar adesivos, a CISA e a Microsoft recomendam uma série de reforços concretos: habilitar a integração com o Antimalware Scan Interface (AMSI) em cada aplicação web do SharePoint, procurar e limpar artefatos de intrusão antes de rodar chaves IIS (para evitar que atacantes roben e voltem a usá-los), limitar a exposição de servidores à Internet e bloquear o acesso externo ao SharePoint Central Administration. Também é crítico revisar a telemetria(logs de IIS, registros de eventos do SharePoint e de segurança, tráfego saliente incomum) para detectar cargas úteis, web shells ou movimentos laterais, e manter evidências antes de realizar mudanças que possam destruir indicadores forenses.

Para equipes de resposta e liderança TI, a recomendação estratégica é clara: assumir um modelo "patch fast, verify faster". Isso significa encurtar ciclos de adesivo quando se trata de falhas críticas, automatizar implantaçãos e verificações, contar com cópias de segurança testadas e planos de recuperação, e, se possível, aplicar segmentação de rede e controles de acesso que reduzam o blast radius em caso de exploração. Se detectar sinais de compromisso, active procedimentos de containment e forense, considere a rotação de chaves e senhas afectadas, e, se for caso disso, comunique às autoridades competentes e aos seus fornecedores de segurança.

Finalmente, para organizações não federais a lição é prática: não espere que uma vulnerabilidade apareça em um catálogo oficial para priorizar. A combinação de exploits ativos, baixa complexidade de ataque e capacidades de pós-explotação (como roubo de machine keys e persistência por deserialização) converte estas vulnerabilidades em vetores de intrusão altamente lucrativos para atacantes. Blindar os pontos de entrada, manter processos de adesivo e visibilidade em produção é a defesa mais efetiva hoje. Para mais detalhes sobre endurecimento e melhores práticas do SharePoint Server, você pode consultar a documentação oficial da Microsoft sobre segurança para SharePoint Server: Guia de Segurança do SharePoint Server na Microsoft Learn.