{"id":1378,"date":"2026-07-04T08:59:52","date_gmt":"2026-07-04T11:59:52","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/07\/04\/cve-2026-45659-exploracao-ativa-em-sharepoint-exige-acao-ime\/"},"modified":"2026-07-04T08:59:52","modified_gmt":"2026-07-04T11:59:52","slug":"cve-2026-45659-exploracao-ativa-em-sharepoint-exige-acao-ime","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/07\/04\/cve-2026-45659-exploracao-ativa-em-sharepoint-exige-acao-ime\/","title":{"rendered":"CVE-2026-45659: Explora\u00e7\u00e3o Ativa em SharePoint Exige A\u00e7\u00e3o Imediata"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

Na manh\u00e3 deste s\u00e1bado, 4 de julho de 2026, a comunidade de seguran\u00e7a da informa\u00e7\u00e3o foi sacudida por um alerta de m\u00e1xima urg\u00eancia: a CVE-2026-45659<\/strong>, uma vulnerabilidade de desserializa\u00e7\u00e3o de dados n\u00e3o confi\u00e1veis no Microsoft SharePoint Server<\/strong>, entrou oficialmente para o cat\u00e1logo KEV (Known Exploited Vulnerabilities)<\/strong> da CISA<\/strong> \u2014 a ag\u00eancia americana de ciberseguran\u00e7a. O motivo? A explora\u00e7\u00e3o ativa<\/strong> desta vulnerabilidade<\/strong> j\u00e1 foi confirmada em ambientes corporativos ao redor do mundo, configurando um cen\u00e1rio de zero-day<\/strong> com janela zero de prote\u00e7\u00e3o para organiza\u00e7\u00f5es que ainda n\u00e3o aplicaram as corre\u00e7\u00f5es. Se sua empresa opera SharePoint Server on-premises ou em configura\u00e7\u00f5es h\u00edbridas, este \u00e9 o momento de interromper qualquer atividade de rotina e concentrar todos os esfor\u00e7os na remedia\u00e7\u00e3o imediata.<\/p>\n

A entrada de uma vulnerabilidade no cat\u00e1logo KEV da CISA n\u00e3o \u00e9 um evento trivial. Significa que ag\u00eancias federais americanas e, por extens\u00e3o, toda a ind\u00fastria global de seguran\u00e7a, reconhecem que h\u00e1 atores maliciosos ativamente varrendo a internet em busca de servidores vulner\u00e1veis. A CVE-2026-45659<\/strong> permite que um atacante autorizado \u2014 ou seja, algu\u00e9m que j\u00e1 possui algum n\u00edvel de credencial no ambiente SharePoint \u2014 execute c\u00f3digo arbitr\u00e1rio remotamente atrav\u00e9s da rede. Isso transforma qualquer conta comprometida, mesmo que com privil\u00e9gios m\u00ednimos, em um vetor para tomada completa do servidor. O impacto potencial sobre a tr\u00edade confidencialidade, integridade e disponibilidade<\/strong> dos dados \u00e9 absoluto.<\/p>\n

O que torna este cen\u00e1rio particularmente perigoso \u00e9 a natureza insidiosa de vulnerabilidades de desserializa\u00e7\u00e3o. Diferentemente de um SQL Injection ou um Cross-Site Scripting, que frequentemente deixam assinaturas detect\u00e1veis em logs de aplica\u00e7\u00e3o, ataques de desserializa\u00e7\u00e3o exploram o funcionamento interno do runtime da plataforma \u2014 no caso, o .NET Framework<\/strong> subjacente ao SharePoint. O payload malicioso trafega como parte leg\u00edtima do estado de objetos serializados, tornando a detec\u00e7\u00e3o por sistemas tradicionais de IDS\/IPS<\/strong> significativamente mais dif\u00edcil. Na JRT Technology Solutions<\/strong>, nosso SOC j\u00e1 est\u00e1 monitorando alertas CISA KEV em tempo real e implementamos varredura cont\u00ednua de CVEs para frotas corporativas, precisamente para responder a emerg\u00eancias como esta com a velocidade que o cen\u00e1rio exige.<\/p>\n

Para profissionais de TI e equipes de seguran\u00e7a, o rel\u00f3gio est\u00e1 correndo. A diferen\u00e7a entre uma organiza\u00e7\u00e3o que cont\u00e9m o ataque nas primeiras horas e outra que sofre uma intrus\u00e3o completa frequentemente se resume \u00e0 agilidade na aplica\u00e7\u00e3o de patches e na implementa\u00e7\u00e3o de controles compensat\u00f3rios. Neste artigo t\u00e9cnico, voc\u00ea encontrar\u00e1 tudo o que precisa saber sobre a CVE-2026-45659<\/strong>: a anatomia da falha, os vetores de ataque, as vers\u00f5es afetadas, os passos pr\u00e1ticos de mitiga\u00e7\u00e3o, os procedimentos de verifica\u00e7\u00e3o p\u00f3s-patch e o contexto hist\u00f3rico que torna esta vulnerabilidade um marco preocupante na evolu\u00e7\u00e3o das amea\u00e7as contra plataformas de colabora\u00e7\u00e3o empresarial.<\/p>\n

O que \u00e9 a CVE-2026-45659 \u2014 Desserializa\u00e7\u00e3o Insegura no SharePoint Server<\/h3>\n

A CVE-2026-45659<\/strong> \u00e9 classificada como uma vulnerabilidade de desserializa\u00e7\u00e3o de dados n\u00e3o confi\u00e1veis<\/strong> (CWE-502: Deserialization of Untrusted Data) que afeta o Microsoft SharePoint Server<\/strong>. Em termos pr\u00e1ticos, o SharePoint utiliza serializa\u00e7\u00e3o para converter objetos complexos da plataforma em formatos transmiss\u00edveis pela rede \u2014 como XML ou JSON \u2014 e posteriormente reconstr\u00f3i (desserializa) esses objetos no destino. O problema surge quando o processo de desserializa\u00e7\u00e3o n\u00e3o valida adequadamente a origem e a integridade dos dados recebidos, permitindo que um atacante injete objetos maliciosos que, ao serem reconstru\u00eddos pelo servidor, disparam a execu\u00e7\u00e3o de comandos arbitr\u00e1rios no contexto do pr\u00f3prio servi\u00e7o SharePoint.<\/p>\n

A vulnerabilidade recebeu um score CVSS de 8.8<\/strong>, posicionando-a na faixa HIGH<\/strong> de severidade. Embora n\u00e3o atinja o patamar cr\u00edtico de 9.0 ou superior, a combina\u00e7\u00e3o de explora\u00e7\u00e3o ativa confirmada<\/strong> com a facilidade de execu\u00e7\u00e3o \u2014 basta estar autenticado na rede, sem necessidade de privil\u00e9gios administrativos \u2014 eleva o risco real a n\u00edveis que justificam o alerta m\u00e1ximo. A Microsoft, em seu boletim de seguran\u00e7a, enfatizou que o vetor de ataque \u00e9 baseado em rede (network-based<\/strong>), com baixa complexidade de ataque e sem necessidade de intera\u00e7\u00e3o do usu\u00e1rio, o que significa que o exploit pode ser automatizado em larga escala.<\/p>\n

Para compreender a gravidade, \u00e9 \u00fatil situar a desserializa\u00e7\u00e3o insegura no panorama geral de vulnerabilidades. Este tipo de falha tem sido consistentemente explorado em frameworks<\/em> Java, .NET, PHP e Python ao longo da \u00faltima d\u00e9cada. O caso mais emblem\u00e1tico talvez seja a cadeia de explora\u00e7\u00e3o do Apache Struts<\/strong> que levou ao breach da Equifax em 2017. No ecossistema Microsoft, vulnerabilidades de desserializa\u00e7\u00e3o no SharePoint e no Exchange t\u00eam aparecido com frequ\u00eancia crescente, sugerindo que atacantes est\u00e3o refinando t\u00e9cnicas espec\u00edficas para plataformas corporativas que concentram grandes volumes de dados sens\u00edveis. A CVE-2026-45659<\/strong> \u00e9 a mais recente \u2014 e atualmente a mais perigosa \u2014 itera\u00e7\u00e3o dessa tend\u00eancia.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-45659<\/td>\n<\/tr>\n
CVSS Score<\/td>\n8.8 \u2014 HIGH<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nMicrosoft SharePoint Server 2019, 2021, Subscription Edition<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-502 \u2014 Desserializa\u00e7\u00e3o de Dados N\u00e3o Confi\u00e1veis<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n04\/07\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 Microsoft Security Update Julho 2026<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

An\u00e1lise T\u00e9cnica Detalhada da CVE-2026-45659 \u2014 Explora\u00e7\u00e3o Ativa e Mecanismos da Vulnerabilidade<\/h3>\n

Do ponto de vista estritamente t\u00e9cnico, a CVE-2026-45659<\/strong> reside no componente de processamento de objetos serializados<\/strong> do SharePoint Server, especificamente no pipeline que gerencia o estado de Web Parts<\/strong> e controles de interface armazenados em listas e bibliotecas de documentos. O SharePoint utiliza extensivamente o BinaryFormatter<\/strong> e, em algumas configura\u00e7\u00f5es, o NetDataContractSerializer<\/strong> do .NET Framework para persistir e transmitir o estado de componentes entre o front-end e o back-end. Quando um usu\u00e1rio autenticado interage com uma p\u00e1gina que cont\u00e9m Web Parts personalizadas ou incorpora metadados complexos, o servidor desserializa objetos que representam esses componentes. A falha est\u00e1 na aus\u00eancia de um SerializationBinder<\/strong> restritivo que limite os tipos que podem ser desserializados a uma lista segura (allowlist) pr\u00e9-definida.<\/p>\n

O mecanismo de explora\u00e7\u00e3o segue o cl\u00e1ssico padr\u00e3o de gadget chains<\/strong> no .NET. Um atacante autenticado envia uma requisi\u00e7\u00e3o HTTP especialmente constru\u00edda contendo um payload serializado que, ao ser processado pelo ObjectStateFormatter<\/strong> ou pelo LosFormatter<\/strong> (formatadores usados internamente pelo SharePoint para gerenciar o estado de controle), for\u00e7a a instancia\u00e7\u00e3o de uma cadeia de objetos aparentemente inofensivos que culmina na execu\u00e7\u00e3o de c\u00f3digo arbitr\u00e1rio. Gadgets comuns em ataques contra o .NET incluem classes como System.Windows.Data.ObjectDataProvider<\/strong>, System.Management.Automation.PSObject<\/strong> e System.Configuration.Install.AssemblyInstaller<\/strong>, que podem ser encadeadas para carregar assemblies maliciosos da mem\u00f3ria ou do disco, contornando restri\u00e7\u00f5es de seguran\u00e7a.<\/p>\n

Um aspecto particularmente preocupante da CVE-2026-45659<\/strong> \u00e9 que o ponto de entrada para o payload malicioso pode ser qualquer funcionalidade do SharePoint que aceite entrada de dados serializados de um usu\u00e1rio autenticado. Isso inclui, mas n\u00e3o se limita a: upload de arquivos com metadados manipulados, cria\u00e7\u00e3o de itens de lista com valores de campo contendo cargas serializadas, e intera\u00e7\u00f5es com APIs REST do SharePoint que aceitam objetos complexos. A superf\u00edcie de ataque \u00e9, portanto, significativamente ampla, o que explica por que a explora\u00e7\u00e3o ativa<\/strong> foi detectada t\u00e3o rapidamente ap\u00f3s a divulga\u00e7\u00e3o inicial da vulnerabilidade<\/strong>.<\/p>\n

A confirma\u00e7\u00e3o da CISA sobre a explora\u00e7\u00e3o ativa<\/strong> da CVE-2026-45659<\/strong> veio acompanhada de indicadores de comprometimento (IoCs) preliminares que apontam para campanhas de ransomware<\/strong> e espionagem corporativa<\/strong>. Grupos de amea\u00e7a conhecidos por alvejar plataformas Microsoft, como o FIN7<\/strong>, APT29 (Cozy Bear)<\/strong> e afiliados do ecossistema LockBit<\/strong>, possuem hist\u00f3rico documentado de explora\u00e7\u00e3o de vulnerabilidades de desserializa\u00e7\u00e3o em servidores corporativos. Embora a atribui\u00e7\u00e3o definitiva ainda esteja em andamento, a velocidade de weaponiza\u00e7\u00e3o sugere que c\u00f3digos de prova de conceito (PoCs) podem ter circulado em f\u00f3runs privados dias ou at\u00e9 semanas antes da divulga\u00e7\u00e3o p\u00fablica oficial.<\/p>\n

Produtos e Vers\u00f5es Afetados pela CVE-2026-45659<\/h3>\n

A Microsoft confirmou que a CVE-2026-45659<\/strong> afeta as seguintes edi\u00e7\u00f5es do SharePoint Server<\/strong> em ambientes on-premises e configura\u00e7\u00f5es h\u00edbridas. \u00c9 crucial notar que o SharePoint Online<\/strong> (Microsoft 365) j\u00e1 recebeu as corre\u00e7\u00f5es automaticamente atrav\u00e9s dos pipelines de atualiza\u00e7\u00e3o cont\u00ednua da Microsoft e n\u00e3o est\u00e1 vulner\u00e1vel no momento desta publica\u00e7\u00e3o. No entanto, organiza\u00e7\u00f5es que operam inst\u00e2ncias locais ou mant\u00eam farms h\u00edbridos conectados ao SharePoint Online precisam agir manualmente.<\/p>\n