{"id":1594,"date":"2026-07-17T08:55:25","date_gmt":"2026-07-17T11:55:25","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/07\/17\/cve-2026-58644-sharepoint-sob-ataque-zero-day-alerta-maximo\/"},"modified":"2026-07-17T08:55:25","modified_gmt":"2026-07-17T11:55:25","slug":"cve-2026-58644-sharepoint-sob-ataque-zero-day-alerta-maximo","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/07\/17\/cve-2026-58644-sharepoint-sob-ataque-zero-day-alerta-maximo\/","title":{"rendered":"CVE-2026-58644: SharePoint sob Ataque Zero-Day \u2014 Alerta M\u00e1ximo"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

Na manh\u00e3 desta sexta-feira, 17 de julho de 2026, a comunidade de seguran\u00e7a da informa\u00e7\u00e3o amanheceu com um cen\u00e1rio que j\u00e1 est\u00e1 sendo chamado de “Patchpocalypse”<\/strong> \u2014 o maior Patch Tuesday da hist\u00f3ria, com impressionantes 622 vulnerabilidades corrigidas pela Microsoft em um \u00fanico ciclo. Entre elas, uma falha se destaca e exige aten\u00e7\u00e3o imediata de administradores de sistemas e equipes de seguran\u00e7a em todo o mundo: a CVE-2026-58644<\/strong>. Esta vulnerabilidade de desserializa\u00e7\u00e3o de dados n\u00e3o confi\u00e1veis no Microsoft SharePoint est\u00e1 sob explora\u00e7\u00e3o ativa<\/strong> e foi adicionada ao cat\u00e1logo KEV (Known Exploited Vulnerabilities) da CISA, confirmando que agentes de amea\u00e7a j\u00e1 est\u00e3o utilizando a falha em campanhas reais. A CVE-2026-58644 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> representa um risco severo para organiza\u00e7\u00f5es que dependem do SharePoint como plataforma de colabora\u00e7\u00e3o e gest\u00e3o documental, e a janela de resposta est\u00e1 se fechando rapidamente.<\/p>\n

O contexto n\u00e3o poderia ser mais preocupante. Este Patch Tuesday de julho de 2026 n\u00e3o apenas quebrou recordes hist\u00f3ricos de volume \u2014 superando os 569 CVEs do m\u00eas anterior \u2014 como tamb\u00e9m trouxe duas vulnerabilidades zero-day do SharePoint sob ataque ativo simult\u00e2neo. Al\u00e9m da CVE-2026-58644<\/strong>, a CVE-2026-56164<\/strong> (uma falha de aus\u00eancia de autentica\u00e7\u00e3o para fun\u00e7\u00e3o cr\u00edtica no SharePoint Server) tamb\u00e9m est\u00e1 sendo explorada, criando um cen\u00e1rio de tempestade perfeita para ambientes Microsoft. Some-se a isso o novo malware GoSerpent mirando governos do sudeste asi\u00e1tico, falhas em appliances SonicWall SMA1000 e uma vulnerabilidade cr\u00edtica no Oracle E-Business Suite, e teremos um dos dias mais intensos para a ciberseguran\u00e7a corporativa em 2026.<\/p>\n

Para os profissionais de TI que gerenciam infraestruturas Windows e dependem do ecossistema Microsoft 365, a mensagem \u00e9 clara e direta: este n\u00e3o \u00e9 um alerta comum de Patch Tuesday. A presen\u00e7a da CVE-2026-58644<\/strong> no cat\u00e1logo KEV da CISA significa que a falha transcendeu o \u00e2mbito te\u00f3rico e j\u00e1 est\u00e1 sendo weaponizada por grupos de amea\u00e7a. O prazo para remedia\u00e7\u00e3o, segundo a Diretiva Operacional Vinculativa 22-01 da CISA, \u00e9 de tr\u00eas semanas para ag\u00eancias federais americanas \u2014 mas, para o setor privado, cada hora sem patch representa uma janela de oportunidade para os atacantes. Na JRT Technology Solutions, nosso SOC j\u00e1 est\u00e1 monitorando os indicadores de comprometimento associados a esta CVE em tempo real, e nossas equipes de gest\u00e3o de vulnerabilidades est\u00e3o executando varreduras emergenciais em todas as frotas corporativas sob nossa gest\u00e3o.<\/p>\n

Neste artigo, vamos dissecar tecnicamente a CVE-2026-58644<\/strong>, entender o mecanismo de explora\u00e7\u00e3o, mapear os produtos afetados, e \u2014 mais importante \u2014 fornecer um plano de a\u00e7\u00e3o pr\u00e1tico e imediato para proteger sua organiza\u00e7\u00e3o. Este conte\u00fado \u00e9 voltado para administradores de sistemas, engenheiros de seguran\u00e7a, CISOs e todos os profissionais respons\u00e1veis pela integridade de ambientes Microsoft. A situa\u00e7\u00e3o \u00e9 grave, mas a resposta pode ser precisa e eficaz quando baseada em informa\u00e7\u00f5es t\u00e9cnicas de qualidade.<\/p>\n

O que \u00e9 a CVE-2026-58644 \u2014 Entendendo a Amea\u00e7a<\/h3>\n

A CVE-2026-58644<\/strong> \u00e9 uma vulnerabilidade de desserializa\u00e7\u00e3o de dados n\u00e3o confi\u00e1veis<\/strong> (CWE-502: Deserialization of Untrusted Data) que afeta o Microsoft SharePoint. Em termos pr\u00e1ticos, trata-se de uma falha que permite a um atacante n\u00e3o autenticado, com acesso de rede ao servidor SharePoint, enviar dados especialmente constru\u00eddos que, quando desserializados pelo processo vulner\u00e1vel, resultam na execu\u00e7\u00e3o remota de c\u00f3digo (RCE). O vetor de ataque \u00e9 classificado como Network<\/strong>, com complexidade de ataque baixa e sem necessidade de intera\u00e7\u00e3o do usu\u00e1rio \u2014 a tr\u00edade perfeita para explora\u00e7\u00e3o massiva automatizada.<\/p>\n

A desserializa\u00e7\u00e3o insegura \u00e9 uma classe de vulnerabilidade particularmente perigosa porque explora um comportamento fundamental das linguagens de programa\u00e7\u00e3o modernas: a capacidade de converter objetos serializados (armazenados ou transmitidos como cadeias de bytes) de volta para objetos em mem\u00f3ria. Quando o processo de desserializa\u00e7\u00e3o n\u00e3o valida adequadamente a origem e a integridade dos dados, um atacante pode injetar objetos maliciosos que, ao serem reconstitu\u00eddos, executam c\u00f3digo arbitr\u00e1rio no contexto do processo afetado. No caso do SharePoint, isso significa execu\u00e7\u00e3o de c\u00f3digo com os privil\u00e9gios da identidade do pool de aplica\u00e7\u00f5es \u2014 tipicamente uma conta de servi\u00e7o com amplos direitos no servidor e no dom\u00ednio.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-58644<\/td>\n<\/tr>\n
CVSS Score<\/td>\n8.1 \u2014 HIGH (AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A:N)<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork (explora\u00e7\u00e3o remota via HTTP\/HTTPS)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nMicrosoft SharePoint Server 2016, 2019, Subscription Edition<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-502 \u2014 Desserializa\u00e7\u00e3o de Dados N\u00e3o Confi\u00e1veis<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n14\/07\/2026 (Patch Tuesday \u2014 divulga\u00e7\u00e3o p\u00fablica)<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\n\u2705 Sim \u2014 Inclu\u00eddo no Pacote de Atualiza\u00e7\u00f5es de Julho\/2026<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

O score CVSS de 8.1 classifica esta vulnerabilidade como HIGH (Alta)<\/strong>, aproximando-se perigosamente do limiar cr\u00edtico. Vale notar que o vetor n\u00e3o inclui impacto de disponibilidade (o “A:N” no final da string CVSS), mas o comprometimento total de confidencialidade e integridade (C:H\/I:H) j\u00e1 \u00e9 devastador para ambientes corporativos onde o SharePoint frequentemente armazena documentos estrat\u00e9gicos, informa\u00e7\u00f5es contratuais e dados sens\u00edveis de clientes e parceiros. Na pr\u00e1tica, um atacante bem-sucedido pode extrair todo o conte\u00fado armazenado nos sites SharePoint e modificar documentos \u00e0 vontade \u2014 um cen\u00e1rio de pesadelo para compliance com regulamenta\u00e7\u00f5es como LGPD, GDPR e PCI-DSS.<\/p>\n

O fato de a explora\u00e7\u00e3o n\u00e3o exigir autentica\u00e7\u00e3o pr\u00e9via (PR:N) \u00e9 o aspecto mais alarmante. Diferentemente de vulnerabilidades que dependem de credenciais comprometidas ou de engenharia social para enganar um usu\u00e1rio leg\u00edtimo, a CVE-2026-58644 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> pode ser disparada por qualquer atacante que alcance a interface web do SharePoint \u2014 inclusive a partir da Internet, se o servidor estiver exposto. E sabemos, pela experi\u00eancia em campo na JRT Technology Solutions, que uma quantidade surpreendente de servidores SharePoint est\u00e1 publicada diretamente na Internet sem as devidas segmenta\u00e7\u00f5es de rede ou controles de acesso adicionais.<\/p>\n

An\u00e1lise T\u00e9cnica Detalhada \u2014 O Mecanismo de Desserializa\u00e7\u00e3o Insegura no SharePoint<\/h3>\n

Para compreender profundamente a CVE-2026-58644<\/strong>, \u00e9 necess\u00e1rio mergulhar no funcionamento interno do mecanismo de serializa\u00e7\u00e3o\/desserializa\u00e7\u00e3o do SharePoint. O SharePoint utiliza extensivamente a serializa\u00e7\u00e3o de objetos para diversas opera\u00e7\u00f5es internas, incluindo o gerenciamento de estado de visualiza\u00e7\u00e3o (ViewState), comunica\u00e7\u00e3o entre componentes de front-end e back-end, e processamento de pacotes de dados em APIs internas. Em vers\u00f5es vulner\u00e1veis do produto, determinados endpoints HTTP aceitam dados serializados sem a devida verifica\u00e7\u00e3o de tipo (type checking) durante o processo de desserializa\u00e7\u00e3o.<\/p>\n

O ataque explora o que a comunidade de seguran\u00e7a chama de “gadget chains”<\/strong> \u2014 sequ\u00eancias de classes aparentemente inofensivas que, quando instanciadas em uma ordem espec\u00edfica durante a desserializa\u00e7\u00e3o, produzem efeitos colaterais perigosos, como execu\u00e7\u00e3o de comandos do sistema operacional. No ecossistema .NET, bibliotecas como ObjectDataProvider, TypeConfuseDelegate e WindowsIdentity t\u00eam sido historicamente abusadas para construir essas cadeias de gadgets. A CVE-2026-58644<\/strong> segue esse mesmo padr\u00e3o: um payload serializado contendo uma cadeia de objetos cuidadosamente constru\u00edda \u00e9 enviado para um endpoint vulner\u00e1vel do SharePoint. O processo de desserializa\u00e7\u00e3o, ao reconstituir esses objetos, dispara a execu\u00e7\u00e3o de c\u00f3digo arbitr\u00e1rio no contexto do processo w3wp.exe \u2014 o worker process do IIS que hospeda a aplica\u00e7\u00e3o SharePoint.<\/p>\n

O que torna esta vulnerabilidade particularmente insidiosa \u00e9 que o ataque n\u00e3o deixa rastros \u00f3bvios nos logs padr\u00e3o do IIS ou do SharePoint. A requisi\u00e7\u00e3o HTTP maliciosa parece leg\u00edtima superficialmente, e a explora\u00e7\u00e3o ocorre inteiramente em mem\u00f3ria durante o processo normal de desserializa\u00e7\u00e3o. Sem monitoramento avan\u00e7ado de comportamento de processos e an\u00e1lise de tr\u00e1fego de rede em camada 7, muitas organiza\u00e7\u00f5es podem n\u00e3o detectar que foram comprometidas at\u00e9 que o dano j\u00e1 esteja consumado \u2014 seja na forma de exfiltra\u00e7\u00e3o de dados, implanta\u00e7\u00e3o de ransomware ou estabelecimento de persist\u00eancia para movimenta\u00e7\u00e3o lateral no dom\u00ednio.<\/p>\n

Produtos e Vers\u00f5es Afetados \u2014 Mapeamento Completo da Superf\u00edcie Vulner\u00e1vel<\/h3>\n

A Microsoft confirmou que a CVE-2026-58644 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> afeta as seguintes vers\u00f5es e edi\u00e7\u00f5es do SharePoint Server:<\/p>\n