{"id":1350,"date":"2026-07-02T08:43:10","date_gmt":"2026-07-02T11:43:10","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/07\/02\/cve-2026-45659-falha-grave-no-sharepoint-server-com-explorac\/"},"modified":"2026-07-02T08:43:10","modified_gmt":"2026-07-02T11:43:10","slug":"cve-2026-45659-falha-grave-no-sharepoint-server-com-explorac","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/07\/02\/cve-2026-45659-falha-grave-no-sharepoint-server-com-explorac\/","title":{"rendered":"CVE-2026-45659: Falha Grave no SharePoint Server com Explora\u00e7\u00e3o Ativa e Escala\u00e7\u00e3o de Privil\u00e9gios"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

O cen\u00e1rio de amea\u00e7as digitais acaba de ganhar um novo cap\u00edtulo preocupante nesta quinta-feira, 2 de julho de 2026. A CVE-2026-45659<\/strong> \u2014 uma vulnerabilidade de desserializa\u00e7\u00e3o de dados n\u00e3o confi\u00e1veis no Microsoft SharePoint Server<\/strong> \u2014 entrou oficialmente no cat\u00e1logo KEV (Known Exploited Vulnerabilities) da CISA, com confirma\u00e7\u00e3o de explora\u00e7\u00e3o ativa<\/strong> em ambientes corporativos ao redor do mundo. A falha permite que um atacante autorizado execute c\u00f3digo arbitr\u00e1rio remotamente, abrindo caminho para movimenta\u00e7\u00e3o lateral, roubo de dados e comprometimento total da infraestrutura SharePoint. A palavra-chave aqui \u00e9 urg\u00eancia: CVE-2026-45659 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> j\u00e1 n\u00e3o \u00e9 um alerta te\u00f3rico, mas uma realidade enfrentada por equipes de seguran\u00e7a agora.<\/p>\n

Para profissionais de TI e seguran\u00e7a da informa\u00e7\u00e3o, o aviso \u00e9 inequ\u00edvoco. Estamos diante de uma vulnerabilidade zero-day que, embora exija autentica\u00e7\u00e3o pr\u00e9via, pode ser explorada por qualquer usu\u00e1rio com credenciais v\u00e1lidas no SharePoint \u2014 um cen\u00e1rio comum em ataques que come\u00e7am com phishing ou reutiliza\u00e7\u00e3o de senhas vazadas. Uma vez dentro, o invasor ganha a capacidade de executar comandos no servidor, comprometendo n\u00e3o apenas o portal SharePoint, mas potencialmente servidores conectados, bancos de dados SQL Server subjacentes e at\u00e9 controladores de dom\u00ednio Active Directory. Na JRT Technology Solutions, nosso SOC j\u00e1 est\u00e1 monitorando alertas CISA KEV em tempo real, e as evid\u00eancias preliminares apontam para campanhas direcionadas a setores estrat\u00e9gicos como governo, finan\u00e7as e sa\u00fade.<\/p>\n

A entrada da CVE-2026-45659<\/strong> no CISA KEV significa que ag\u00eancias federais dos EUA t\u00eam prazo determinado para corre\u00e7\u00e3o, mas a recomenda\u00e7\u00e3o se estende a qualquer organiza\u00e7\u00e3o que opere SharePoint Server. A desserializa\u00e7\u00e3o insegura, classificada como CWE-502<\/strong>, \u00e9 uma classe de vulnerabilidade notoriamente perigosa, pois permite que objetos maliciosos injetados em fluxos de dados sejam reconstru\u00eddos e executados pelo servidor sem a devida valida\u00e7\u00e3o. O impacto vai desde o roubo de documentos armazenados at\u00e9 a instala\u00e7\u00e3o de ransomware que se propaga pela rede interna. A CVE-2026-45659 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> refor\u00e7a uma li\u00e7\u00e3o conhecida: ambientes SharePoint on-premises s\u00e3o alvos de alto valor e exigem patch management rigoroso.<\/p>\n

A seguir, dissecamos a falha em detalhes t\u00e9cnicos, analisamos os vetores de ataque, listamos as vers\u00f5es afetadas e oferecemos um guia completo de mitiga\u00e7\u00e3o e verifica\u00e7\u00e3o. Cada minuto conta quando uma vulnerabilidade est\u00e1 sob explora\u00e7\u00e3o ativa \u2014 e este artigo foi preparado para ajudar equipes de infraestrutura e seguran\u00e7a a agir com precis\u00e3o e velocidade.<\/p>\n

O que \u00e9 a CVE-2026-45659<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-45659<\/td>\n<\/tr>\n
CVSS Score<\/td>\n8.8 \u2014 HIGH<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nMicrosoft SharePoint Server 2016, 2019, Subscription Edition<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-502: Deserialization of Untrusted Data<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n02\/07\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 Update da Microsoft (KB5036721 \/ KB5036722)<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A CVE-2026-45659<\/strong> \u00e9 uma vulnerabilidade de desserializa\u00e7\u00e3o de dados n\u00e3o confi\u00e1veis no Microsoft SharePoint Server<\/strong>. Em termos pr\u00e1ticos, o SharePoint utiliza serializa\u00e7\u00e3o para transformar objetos complexos em formatos que possam ser transmitidos ou armazenados, e desserializa\u00e7\u00e3o para reconstru\u00ed\u2011los. Quando o processo de desserializa\u00e7\u00e3o n\u00e3o verifica adequadamente a origem ou a integridade dos dados, um atacante pode injetar um objeto malicioso \u2014 por exemplo, atrav\u00e9s de uma requisi\u00e7\u00e3o HTTP especialmente criada \u2014 que, ao ser desserializado, executa c\u00f3digo no contexto do servidor. O resultado \u00e9 uma Remote Code Execution (RCE) com os privil\u00e9gios da conta de servi\u00e7o do SharePoint, tipicamente uma conta de alto privil\u00e9gio capaz de acessar bancos de dados e outros recursos sens\u00edveis.<\/p>\n

A falha foi classificada como HIGH<\/strong> (CVSS 8.8) por exigir autentica\u00e7\u00e3o pr\u00e9via \u2014 vetor Adjacent Network<\/em> l\u00f3gico, mas tecnicamente explor\u00e1vel pela rede corporativa. No entanto, essa barreira \u00e9 frequentemente contornada em ataques reais: credenciais comprometidas de um usu\u00e1rio comum do SharePoint s\u00e3o suficientes para disparar o exploit. A Microsoft reconheceu a vulnerabilidade e publicou atualiza\u00e7\u00f5es de seguran\u00e7a de emerg\u00eancia, mas a explora\u00e7\u00e3o ativa j\u00e1 foi detectada antes que muitas organiza\u00e7\u00f5es pudessem aplicar os patches. A CVE-2026-45659 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> est\u00e1 sendo rastreada por m\u00faltiplas ag\u00eancias de intelig\u00eancia de amea\u00e7as, com indicadores de comprometimento (IOCs) j\u00e1 circulando entre parceiros da ind\u00fastria.<\/p>\n

An\u00e1lise T\u00e9cnica Detalhada<\/h3>\n

A raiz do problema est\u00e1 na forma como o SharePoint Server manipula objetos serializados em determinadas funcionalidades de API e web parts. Durante a opera\u00e7\u00e3o normal, o servidor recebe fluxos de dados serializados de clientes leg\u00edtimos e os reconstr\u00f3i usando bibliotecas como BinaryFormatter<\/strong> ou NetDataContractSerializer<\/strong>. Ambos os formatos s\u00e3o conhecidos por permitir a desserializa\u00e7\u00e3o polim\u00f3rfica \u2014 ou seja, o servidor pode instanciar qualquer tipo dispon\u00edvel no assembly carregado, sem restri\u00e7\u00f5es rigorosas de tipo. Um invasor que consiga controlar o conte\u00fado do fluxo serializado pode for\u00e7ar o servidor a carregar um gadget chain: uma sequ\u00eancia de objetos que, ao serem instanciados e terem seus m\u00e9todos chamados durante a desserializa\u00e7\u00e3o, resultam em execu\u00e7\u00e3o de comandos arbitr\u00e1rios.<\/p>\n

Especificamente na CVE-2026-45659<\/strong>, o vetor de entrada foi identificado em endpoints de servi\u00e7o do SharePoint que aceitam par\u00e2metros serializados como parte de opera\u00e7\u00f5es de upload de arquivos ou manipula\u00e7\u00e3o de metadados de listas. Um atacante autenticado pode enviar uma requisi\u00e7\u00e3o POST com um payload bin\u00e1rio ou XML contendo o gadget chain, explorando classes presentes no pr\u00f3prio framework .NET \u2014 como System.Windows.Data.ObjectDataProvider<\/strong> em conjunto com System.Diagnostics.Process<\/strong> \u2014 para spawnar um processo malicioso no servidor. A aus\u00eancia de valida\u00e7\u00e3o de assinatura criptogr\u00e1fica ou de um type filter robusto transforma cada requisi\u00e7\u00e3o suspeita em uma potencial brecha.<\/p>\n

\u00c9 importante notar que a vulnerabilidade n\u00e3o est\u00e1 limitada a uma \u00fanica interface: relat\u00f3rios de pesquisadores indicam que m\u00faltiplos endpoints REST e SOAP herdados do SharePoint podem compartilhar a mesma l\u00f3gica de desserializa\u00e7\u00e3o vulner\u00e1vel. Isso amplia a superf\u00edcie de ataque e dificulta a mitiga\u00e7\u00e3o baseada apenas em regras de firewall de aplica\u00e7\u00e3o (WAF), j\u00e1 que os padr\u00f5es de tr\u00e1fego malicioso podem se disfar\u00e7ar como chamadas leg\u00edtimas de API. A complexidade aumenta quando consideramos que muitas organiza\u00e7\u00f5es customizam o SharePoint com web parts de terceiros, que podem inadvertidamente reintroduzir padr\u00f5es de desserializa\u00e7\u00e3o inseguros mesmo ap\u00f3s a aplica\u00e7\u00e3o do patch oficial.<\/p>\n

Produtos e Vers\u00f5es Afetados<\/h3>\n

Abaixo est\u00e3o as edi\u00e7\u00f5es e builds do Microsoft SharePoint Server<\/strong> confirmadas como vulner\u00e1veis \u00e0 CVE-2026-45659<\/strong>. A Microsoft tamb\u00e9m indicou que vers\u00f5es estendidas com suporte personalizado podem estar inclu\u00eddas, exigindo verifica\u00e7\u00e3o individual.<\/p>\n