{"id":1364,"date":"2026-07-03T08:52:56","date_gmt":"2026-07-03T11:52:56","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/07\/03\/cve-2026-45659-sharepoint-server-sob-ataque-exploracao-ativa\/"},"modified":"2026-07-03T08:52:56","modified_gmt":"2026-07-03T11:52:56","slug":"cve-2026-45659-sharepoint-server-sob-ataque-exploracao-ativa","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/07\/03\/cve-2026-45659-sharepoint-server-sob-ataque-exploracao-ativa\/","title":{"rendered":"CVE-2026-45659: SharePoint Server Sob Ataque \u2014 Explora\u00e7\u00e3o Ativa e Corre\u00e7\u00e3o Urgente"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

Sexta-feira, 3 de julho de 2026. Enquanto muitas equipes de TI se preparam para encerrar a semana, a comunidade de seguran\u00e7a da informa\u00e7\u00e3o entra em estado de alerta m\u00e1ximo. A CVE-2026-45659<\/strong>, uma vulnerabilidade de desserializa\u00e7\u00e3o de dados n\u00e3o confi\u00e1veis no Microsoft SharePoint Server, entrou oficialmente para o cat\u00e1logo CISA KEV<\/strong> (Known Exploited Vulnerabilities) com confirma\u00e7\u00e3o de explora\u00e7\u00e3o ativa<\/strong> em ambientes corporativos. Estamos diante de um cen\u00e1rio de zero-day real, onde a janela de prote\u00e7\u00e3o \u00e9 inexistente e cada minuto conta. A falha permite que um atacante autorizado execute c\u00f3digo remotamente atrav\u00e9s da rede, assumindo o controle total do servidor SharePoint e, potencialmente, de toda a infraestrutura conectada ao Active Directory corporativo.<\/p>\n

O termo “zero-day” n\u00e3o \u00e9 apenas um jarg\u00e3o t\u00e9cnico nesta situa\u00e7\u00e3o. Ele significa que, no momento da detec\u00e7\u00e3o da explora\u00e7\u00e3o, n\u00e3o havia patch dispon\u00edvel \u2014 uma janela zero de prote\u00e7\u00e3o que coloca milhares de organiza\u00e7\u00f5es em risco imediato. O SharePoint Server \u00e9 o cora\u00e7\u00e3o da colabora\u00e7\u00e3o empresarial para empresas de todos os portes, abrigando documentos estrat\u00e9gicos, fluxos de trabalho, intranets e, frequentemente, integra\u00e7\u00f5es profundas com sistemas legados. Um comprometimento bem-sucedido dessa plataforma pode significar a porta de entrada para ataques de ransomware, roubo de propriedade intelectual e viola\u00e7\u00f5es de compliance com impacto financeiro e reputacional severo. A CVE-2026-45659 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> n\u00e3o \u00e9 uma possibilidade te\u00f3rica: \u00e9 um incidente em andamento, documentado por ag\u00eancias de intelig\u00eancia e times de resposta a incidentes ao redor do globo.<\/p>\n

A inclus\u00e3o no cat\u00e1logo CISA KEV aciona um cron\u00f4metro regulat\u00f3rio para ag\u00eancias federais e empresas que seguem a BOD 22-01, mas a realidade \u00e9 que toda organiza\u00e7\u00e3o que opera SharePoint Server deve tratar essa corre\u00e7\u00e3o como prioridade absoluta. A JRT Technology Solutions, atrav\u00e9s de seu SOC e plataforma de gest\u00e3o de vulnerabilidades, j\u00e1 est\u00e1 monitorando ativamente tentativas de explora\u00e7\u00e3o em endpoints de clientes e aplicando contramedidas preventivas. Neste artigo, vamos dissecar tecnicamente a falha, entender o vetor de ataque, as vers\u00f5es afetadas, e fornecer um guia passo a passo para proteger seu ambiente antes que seja tarde.<\/p>\n

O que \u00e9 a CVE-2026-45659 \u2014 Entendendo a Explora\u00e7\u00e3o Ativa da Vulnerabilidade<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-45659<\/td>\n<\/tr>\n
CVSS Score<\/td>\n7.2 \u2014 HIGH (vetor AV:N\/AC:L\/PR:H\/UI:N\/S:U\/C:H\/I:H\/A:H)<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork (explora\u00e7\u00e3o remota via protocolo HTTP\/HTTPS)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nMicrosoft SharePoint Server 2016, 2019 e SharePoint Server Subscription Edition<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-502: Deserialization of Untrusted Data<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n03\/07\/2026 (com atualiza\u00e7\u00e3o KEV na mesma data)<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\n\u2705 Sim \u2014 Microsoft lan\u00e7ou atualiza\u00e7\u00e3o de seguran\u00e7a fora de ciclo<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A CVE-2026-45659<\/strong> \u00e9 uma falha cl\u00e1ssica de desserializa\u00e7\u00e3o insegura<\/strong> (CWE-502). Em termos pr\u00e1ticos, o SharePoint Server, em determinados endpoints da API de integra\u00e7\u00e3o, aceita objetos serializados enviados pelo cliente e os reconstr\u00f3i sem a devida verifica\u00e7\u00e3o de integridade e tipo. Um atacante que possua credenciais de baixo privil\u00e9gio \u2014 algo trivial em cen\u00e1rios de phishing ou credential stuffing \u2014 pode injetar um objeto malicioso que, ao ser desserializado, dispara a execu\u00e7\u00e3o de comandos arbitr\u00e1rios no contexto de seguran\u00e7a do pool de aplica\u00e7\u00f5es do IIS, que tipicamente roda sob contas com privil\u00e9gios elevados no servidor. A falha \u00e9 particularmente perigosa porque n\u00e3o requer intera\u00e7\u00e3o do usu\u00e1rio (UI:N) e o vetor de ataque \u00e9 acess\u00edvel via rede (AV:N), facilitando a automa\u00e7\u00e3o de ataques em larga escala.<\/p>\n

Ao contr\u00e1rio de outras vulnerabilidades de SharePoint que dependem de m\u00faltiplos fatores de mitiga\u00e7\u00e3o, aqui a barreira de entrada \u00e9 bastante reduzida. O atacante precisa apenas de um usu\u00e1rio autenticado (PR:H no CVSS, mas “autorizado” no contexto do SharePoint pode significar um simples usu\u00e1rio de site), sem necessidade de privil\u00e9gios administrativos. Isso transforma qualquer conta comprometida em um vetor de escalada para dom\u00ednio total. A CISA sinalizou a inclus\u00e3o no KEV com o prazo de remedia\u00e7\u00e3o urgente, e agentes de amea\u00e7a j\u00e1 est\u00e3o utilizando scanners automatizados para identificar inst\u00e2ncias vulner\u00e1veis expostas na internet.<\/p>\n

An\u00e1lise T\u00e9cnica Detalhada da CVE-2026-45659 e a Desserializa\u00e7\u00e3o Insegura<\/h3>\n

O mecanismo vulner\u00e1vel reside no servi\u00e7o Microsoft.Office.Server.Search.Internal.UI.WebControls<\/strong> e em componentes relacionados ao SerializationBinder<\/strong> do SharePoint. Em condi\u00e7\u00f5es normais, o framework .NET oferece mecanismos para restringir quais tipos podem ser desserializados durante opera\u00e7\u00f5es de reconstitui\u00e7\u00e3o de objetos \u2014 \u00e9 o chamado SerializationBinder<\/strong> personalizado. No entanto, a implementa\u00e7\u00e3o do SharePoint para determinados endpoints legados (incluindo alguns conectores de eDiscovery e APIs de busca empresarial) permite bypassar<\/strong> essas restri\u00e7\u00f5es atrav\u00e9s de cadeias de gadgets polim\u00f3rficos (gadget chains) que abusam de tipos dispon\u00edveis no pr\u00f3prio assembly do SharePoint e em bibliotecas do .NET Framework carregadas no contexto do IIS.<\/p>\n

Tecnicamente, o ataque abusa do ObjectStateFormatter<\/strong> e de LosFormatter<\/strong> \u2014 dois serializadores intr\u00ednsecos do ASP.NET \u2014 atrav\u00e9s de um payload constru\u00eddo com ysoserial.net<\/strong> adaptado para os tipos expostos pelo SharePoint. A explora\u00e7\u00e3o t\u00edpica envolve os seguintes passos conceituais em baixo n\u00edvel:<\/p>\n