{"id":1618,"date":"2026-07-18T08:59:30","date_gmt":"2026-07-18T11:59:30","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/07\/18\/cve-2026-58644-exploracao-ativa-de-vulnerabilidade-critica-s\/"},"modified":"2026-07-18T08:59:30","modified_gmt":"2026-07-18T11:59:30","slug":"cve-2026-58644-exploracao-ativa-de-vulnerabilidade-critica-s","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/07\/18\/cve-2026-58644-exploracao-ativa-de-vulnerabilidade-critica-s\/","title":{"rendered":"CVE-2026-58644: Explora\u00e7\u00e3o Ativa de Vulnerabilidade Cr\u00edtica SharePoint"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

S\u00e1bado, 18 de julho de 2026.<\/strong> A comunidade de seguran\u00e7a da informa\u00e7\u00e3o acordou com mais um alerta m\u00e1ximo da CISA. A CVE-2026-58644 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> de desserializa\u00e7\u00e3o no Microsoft SharePoint est\u00e1 entre as oito falhas adicionadas hoje ao cat\u00e1logo KEV (Known Exploited Vulnerabilities), e a gravidade do cen\u00e1rio n\u00e3o pode ser subestimada. Estamos falando de uma zero-day que permite a um atacante n\u00e3o autenticado executar c\u00f3digo arbitr\u00e1rio remotamente sobre a rede \u2014 sem credenciais, sem intera\u00e7\u00e3o do usu\u00e1rio, apenas com acesso de rede ao servidor SharePoint vulner\u00e1vel.<\/p>\n

O Patch Tuesday de julho de 2026 entrou para a hist\u00f3ria como o maior da Microsoft, corrigindo um recorde absoluto de 622 vulnerabilidades<\/strong>, das quais duas j\u00e1 estavam sob ataque ativo antes mesmo do lan\u00e7amento dos patches. A CVE-2026-58644 \u00e9 uma delas. Para profissionais de infraestrutura e seguran\u00e7a, isso significa que a janela entre a descoberta e o patch foi zero \u2014 atacantes chegaram primeiro. O SharePoint, plataforma central de colabora\u00e7\u00e3o e gest\u00e3o documental em milhares de organiza\u00e7\u00f5es, est\u00e1 na mira de grupos de amea\u00e7a avan\u00e7ados que j\u00e1 automatizaram a explora\u00e7\u00e3o em escala.<\/p>\n

O que torna este s\u00e1bado particularmente tenso \u00e9 o volume e a diversidade das CVEs ativamente exploradas divulgadas nas \u00faltimas horas. Al\u00e9m da falha no SharePoint, temos duas inje\u00e7\u00f5es de comando no Fortinet FortiSandbox (CVE-2026-25089<\/strong> e CVE-2026-39808<\/strong>), uma falha de gerenciamento de privil\u00e9gios no Oracle E-Business Suite (CVE-2026-46817<\/strong>), uma vulnerabilidade de SSRF e inje\u00e7\u00e3o de c\u00f3digo nos appliances SonicWall SMA1000 (CVE-2026-15409<\/strong> e CVE-2026-15410<\/strong>), e ainda problemas cr\u00edticos no Active Directory Federation Services e no protocolo KNX. O cen\u00e1rio \u00e9 de cerco simult\u00e2neo a m\u00faltiplas superf\u00edcies corporativas.<\/p>\n

Neste post, vamos dissecar a CVE-2026-58644<\/strong> com profundidade t\u00e9cnica. Explicaremos o mecanismo de desserializa\u00e7\u00e3o insegura, os vetores de ataque, os produtos afetados, o impacto real nas empresas e, principalmente, os passos pr\u00e1ticos e urgentes de mitiga\u00e7\u00e3o. Se sua organiza\u00e7\u00e3o utiliza Microsoft SharePoint Server \u2014 incluindo vers\u00f5es h\u00edbridas e farms expostos \u2014 este \u00e9 o momento de agir. Na JRT Technology Solutions, monitoramos alertas CISA KEV em tempo real e implementamos varredura cont\u00ednua de CVEs para frotas corporativas gerenciadas, acelerando a resposta a incidentes cr\u00edticos como este.<\/p>\n

O que \u00e9 a CVE-2026-58644 e por que esta explora\u00e7\u00e3o ativa de vulnerabilidade \u00e9 cr\u00edtica<\/h3>\n

A CVE-2026-58644 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> \u00e9 classificada como uma falha de Desserializa\u00e7\u00e3o de Dados N\u00e3o Confi\u00e1veis (CWE-502)<\/strong> no Microsoft SharePoint. Em termos pr\u00e1ticos, o SharePoint recebe e processa dados serializados de diversas origens \u2014 APIs, web parts, pacotes de integra\u00e7\u00e3o \u2014 e, em algum ponto do pipeline de desserializa\u00e7\u00e3o, n\u00e3o valida adequadamente a integridade ou a origem desses dados. Um atacante remoto pode enviar um payload malicioso cuidadosamente constru\u00eddo que, ao ser desserializado pelo servidor, resulta na execu\u00e7\u00e3o de c\u00f3digo arbitr\u00e1rio no contexto da aplica\u00e7\u00e3o.<\/p>\n

O problema \u00e9 que a desserializa\u00e7\u00e3o insegura \u00e9 uma classe de vulnerabilidade particularmente perigosa porque muitas vezes n\u00e3o exige autentica\u00e7\u00e3o. Um \u00fanico pacote HTTP enviado ao endpoint vulner\u00e1vel pode ser suficiente para comprometer o servidor. No caso da CVE-2026-58644, a CISA confirma que o vetor de ataque \u00e9 via rede, sem autentica\u00e7\u00e3o, o que eleva o risco a patamares extremos. Atacantes est\u00e3o explorando essa falha para obter acesso inicial a redes corporativas, implantar ransomware, exfiltrar dados sens\u00edveis e estabelecer persist\u00eancia para movimenta\u00e7\u00e3o lateral.<\/p>\n

Quando falamos em zero-day com explora\u00e7\u00e3o ativa, a gravidade \u00e9 amplificada. Zero-day significa que a vulnerabilidade era desconhecida pelo fabricante no momento em que os primeiros ataques come\u00e7aram. As equipes de seguran\u00e7a n\u00e3o tiveram nenhuma janela de prote\u00e7\u00e3o: n\u00e3o havia assinatura de IPS, regra de WAF ou patch dispon\u00edvel. Os atacantes tiveram dias, possivelmente semanas, para refinar exploits e alvejar organiza\u00e7\u00f5es espec\u00edficas. A inclus\u00e3o no cat\u00e1logo KEV da CISA \u00e9 o sinal inequ\u00edvoco de que a amea\u00e7a \u00e9 real, documentada e exige remedia\u00e7\u00e3o imediata por parte de todas as empresas \u2014 inclusive aquelas que ainda n\u00e3o detectaram tentativas de intrus\u00e3o.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-58644<\/td>\n<\/tr>\n
CVSS Score<\/td>\n8.8 \u2014 HIGH (pr\u00f3ximo de CRITICAL)<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork (Explora\u00e7\u00e3o Remota sem Autentica\u00e7\u00e3o)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nMicrosoft SharePoint Server (m\u00faltiplas edi\u00e7\u00f5es e vers\u00f5es)<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-502 \u2014 Desserializa\u00e7\u00e3o de Dados N\u00e3o Confi\u00e1veis<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n18\/07\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 Lan\u00e7ado no Patch Tuesday de Julho\/2026<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada (Explora\u00e7\u00e3o Zero-Day)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

An\u00e1lise t\u00e9cnica detalhada da vulnerabilidade<\/h3>\n

Para compreender a raiz t\u00e9cnica da CVE-2026-58644<\/strong>, precisamos revisitar o conceito de desserializa\u00e7\u00e3o e como o SharePoint o implementa. A serializa\u00e7\u00e3o \u00e9 o processo de converter um objeto em um fluxo de bytes para transporte ou persist\u00eancia. A desserializa\u00e7\u00e3o reconstr\u00f3i esse objeto a partir dos bytes. Em arquiteturas distribu\u00eddas como o SharePoint \u2014 que utiliza comunica\u00e7\u00e3o entre web front-ends, application servers, bancos de dados e servi\u00e7os personalizados \u2014 a serializa\u00e7\u00e3o \u00e9 onipresente. O SharePoint frequentemente emprega formatos como BinaryFormatter, DataContractSerializer ou NetDataContractSerializer para comunica\u00e7\u00e3o interna e processamento de web parts.<\/p>\n

O perigo surge quando o processo de desserializa\u00e7\u00e3o n\u00e3o imp\u00f5e restri\u00e7\u00f5es sobre quais tipos podem ser instanciados. Um atacante pode criar um payload malicioso contendo objetos de tipos inesperados que, ao serem reconstru\u00eddos, acionam comportamentos perigosos \u2014 como execu\u00e7\u00e3o de comandos via System.Diagnostics.Process, carregamento de assemblies arbitr\u00e1rios, ou manipula\u00e7\u00e3o de fluxos de mem\u00f3ria. Na pr\u00e1tica, a CVE-2026-58644 permite que um invasor envie um pacote serializado especialmente criado para um endpoint SharePoint vulner\u00e1vel. Quando o servidor desserializa esse pacote, o payload \u00e9 executado com as permiss\u00f5es da conta de servi\u00e7o do SharePoint, tipicamente uma conta com privil\u00e9gios elevados no farm e no dom\u00ednio.<\/p>\n

O vetor exato da explora\u00e7\u00e3o pode variar. Em vulnerabilidades anteriores de desserializa\u00e7\u00e3o no SharePoint (como a CVE-2019-0604<\/strong> e a CVE-2020-1147<\/strong>), os endpoints afetados inclu\u00edam servi\u00e7os de API REST, manipuladores de upload de arquivos e processadores de pacotes de solu\u00e7\u00f5es. Na CVE-2026-58644, embora a Microsoft n\u00e3o tenha divulgado o endpoint espec\u00edfico, evid\u00eancias coletadas por pesquisadores do ZDI e de firmas independentes apontam para m\u00faltiplos vetores no pipeline de processamento de requisi\u00e7\u00f5es que lidam com pacotes de dados complexos \u2014 possivelmente relacionados ao servi\u00e7o de metadados gerenciados ou ao processamento de web parts de terceiros.<\/p>\n

Um detalhe que torna essa vulnerabilidade particularmente perigosa \u00e9 que a explora\u00e7\u00e3o pode ser conduzida sem qualquer n\u00edvel de autentica\u00e7\u00e3o. O atacante n\u00e3o precisa de uma conta de usu\u00e1rio v\u00e1lida no SharePoint; basta conseguir alcan\u00e7ar o servidor pela rede. Em um ambiente t\u00edpico, isso significa que tanto atacantes externos (se o SharePoint estiver exposto \u00e0 internet, mesmo que atrav\u00e9s de um proxy reverso) quanto internos (usu\u00e1rios maliciosos na rede corporativa) podem disparar o exploit. Uma vez executado o c\u00f3digo arbitr\u00e1rio, o invasor rapidamente escalar\u00e1 privil\u00e9gios para dom\u00ednio, comprometendo a totalidade da infraestrutura.<\/p>\n

Produtos e vers\u00f5es afetados pela CVE-2026-58644<\/h3>\n

O boletim da Microsoft cobre um amplo espectro de vers\u00f5es do SharePoint Server. Historicamente, vulnerabilidades de desserializa\u00e7\u00e3o tendem a afetar m\u00faltiplas builds porque o componente problem\u00e1tico \u00e9 frequentemente herdado de vers\u00f5es anteriores ou compartilhado entre edi\u00e7\u00f5es. As vers\u00f5es confirmadas como vulner\u00e1veis incluem:<\/p>\n