{"id":1642,"date":"2026-07-19T09:11:04","date_gmt":"2026-07-19T12:11:04","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/07\/19\/cve-2026-58644-sharepoint-sob-exploracao-ativa-alto-risco\/"},"modified":"2026-07-19T09:11:04","modified_gmt":"2026-07-19T12:11:04","slug":"cve-2026-58644-sharepoint-sob-exploracao-ativa-alto-risco","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/07\/19\/cve-2026-58644-sharepoint-sob-exploracao-ativa-alto-risco\/","title":{"rendered":"CVE-2026-58644: SharePoint sob Explora\u00e7\u00e3o Ativa \u2014 Alto Risco"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

No cen\u00e1rio de amea\u00e7as cibern\u00e9ticas deste domingo, 19 de julho de 2026, acordamos com um alerta m\u00e1ximo para profissionais de seguran\u00e7a da informa\u00e7\u00e3o em todo o mundo: a CVE-2026-58644<\/strong>, uma vulnerabilidade de desserializa\u00e7\u00e3o de dados n\u00e3o confi\u00e1veis no Microsoft SharePoint<\/strong>, entrou oficialmente para o cat\u00e1logo CISA KEV<\/strong>, confirmando explora\u00e7\u00e3o ativa<\/strong> em ambientes corporativos. O cen\u00e1rio \u00e9 agravado pelo fato de estarmos diante de um zero-day<\/strong> cuja janela de prote\u00e7\u00e3o \u00e9, por defini\u00e7\u00e3o, zero \u2014 as equipes de seguran\u00e7a correm contra o rel\u00f3gio enquanto atacantes j\u00e1 possuem ferramentas funcionais para comprometer servidores SharePoint desprotegidos. A palavra-chave CVE-2026-58644 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> resume a urg\u00eancia deste domingo at\u00edpico para equipes de infraestrutura e opera\u00e7\u00f5es de seguran\u00e7a.<\/p>\n

A inser\u00e7\u00e3o no cat\u00e1logo Known Exploited Vulnerabilities da CISA n\u00e3o \u00e9 um alerta comum. Significa que ag\u00eancias federais norte-americanas t\u00eam prazo determinado para corre\u00e7\u00e3o, mas, na pr\u00e1tica, serve como um sinal inequ\u00edvoco para toda a ind\u00fastria: a amea\u00e7a \u00e9 real, imediata e n\u00e3o se trata de uma prova de conceito acad\u00eamica<\/strong>. O Microsoft SharePoint, plataforma onipresente de colabora\u00e7\u00e3o e gest\u00e3o documental em grandes organiza\u00e7\u00f5es, est\u00e1 na linha de frente. Seu papel como reposit\u00f3rio de informa\u00e7\u00f5es estrat\u00e9gicas, contratos, dados financeiros e propriedade intelectual o transforma em um alvo de alt\u00edssimo valor para grupos de ransomware, espionagem corporativa e atores de amea\u00e7as persistentes.<\/p>\n

O fato de a vulnerabilidade permitir a execu\u00e7\u00e3o remota de c\u00f3digo por um atacante n\u00e3o autenticado<\/strong> eleva o risco a patamares cr\u00edticos. Diferentemente de falhas que exigem credenciais v\u00e1lidas, a CVE-2026-58644<\/strong> pode ser explorada por qualquer agente com acesso de rede ao servidor SharePoint, sem necessidade de login pr\u00e9vio. Em arquiteturas onde o SharePoint \u00e9 exposto \u00e0 internet \u2014 cen\u00e1rio comum em portais de colabora\u00e7\u00e3o externa, extranets e ambientes h\u00edbridos \u2014 a superf\u00edcie de ataque se expande perigosamente. A combina\u00e7\u00e3o de exploit p\u00fablico iminente, facilidade de execu\u00e7\u00e3o e valor estrat\u00e9gico do alvo torna este domingo um ponto de inflex\u00e3o para organiza\u00e7\u00f5es que ainda n\u00e3o aplicaram os patches lan\u00e7ados na \u00faltima ter\u00e7a-feira.<\/p>\n

Nas pr\u00f3ximas se\u00e7\u00f5es, detalharemos a anatomia t\u00e9cnica da CVE-2026-58644<\/strong>, mapearemos produtos e vers\u00f5es afetados, explicaremos como o ataque se desenrola, qual o impacto real para empresas sob jurisdi\u00e7\u00e3o da LGPD, GDPR e PCI-DSS, e \u2014 mais importante \u2014 como se proteger de forma pr\u00e1tica, incluindo verifica\u00e7\u00f5es p\u00f3s-patch. Este artigo foi produzido pela equipe de an\u00e1lise de amea\u00e7as da JRT Technology Solutions, onde monitoramos CVEs, CISA KEV e intelig\u00eancia de amea\u00e7as em tempo real para proteger ambientes corporativos.<\/p>\n

O que \u00e9 a CVE-2026-58644<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-58644<\/td>\n<\/tr>\n
CVSS Score<\/td>\n8.8 \u2014 HIGH (pr\u00f3ximo de cr\u00edtico)<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork (CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:R\/S:U\/C:H\/I:H\/A:H)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nMicrosoft SharePoint Server 2016, 2019, Subscription Edition<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-502: Desserializa\u00e7\u00e3o de Dados N\u00e3o Confi\u00e1veis<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n14\/07\/2026 (Patch Tuesday) \u2014 Explora\u00e7\u00e3o ativa desde 16\/07\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 Microsoft Security Update July 2026<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A CVE-2026-58644<\/strong> \u00e9 uma falha cr\u00edtica de seguran\u00e7a que reside no processo de desserializa\u00e7\u00e3o de objetos dentro do Microsoft SharePoint Server. Em termos pr\u00e1ticos, o SharePoint utiliza serializa\u00e7\u00e3o para converter objetos de dados complexos em formatos que podem ser transmitidos pela rede ou armazenados. O problema surge quando o servidor aceita dados desserializados sem a devida valida\u00e7\u00e3o de origem e integridade, permitindo que um conte\u00fado malicioso, cuidadosamente elaborado por um atacante, seja interpretado como um objeto leg\u00edtimo. Como resultado, o invasor consegue executar c\u00f3digo arbitr\u00e1rio no contexto do processo do SharePoint, tipicamente sob a conta de servi\u00e7o do IIS ou do farm de servidores.<\/p>\n

O cerne t\u00e9cnico da vulnerabilidade est\u00e1 na aus\u00eancia de um binder<\/em> de tipos seguro durante a desserializa\u00e7\u00e3o. O SharePoint, ao receber determinados payloads via HTTP, utiliza serializadores derivados do .NET Framework que, por padr\u00e3o, resolvem tipos dinamicamente a partir do fluxo de dados recebido. Isso \u00e9 o equivalente a abrir uma porta e pedir ao servidor que execute qualquer c\u00f3digo que chegar. Frameworks modernos mitigam esse comportamento com Serialization Binders<\/em> que restringem quais tipos podem ser instanciados, mas, na CVE-2026-58644<\/strong>, essa verifica\u00e7\u00e3o \u00e9 contorn\u00e1vel ou inexistente em determinados endpoints do SharePoint.<\/p>\n

\u00c9 importante diferenciar essa vulnerabilidade de outras falhas de desserializa\u00e7\u00e3o j\u00e1 conhecidas no ecossistema SharePoint. A Microsoft corrigiu vulnerabilidades similares em 2020, 2021 e 2023, mas a CVE-2026-58644<\/strong> explora um caminho de c\u00f3digo distinto, relacionado a componentes de processamento de listas e bibliotecas de documentos, onde a valida\u00e7\u00e3o de tipos \u00e9 delegada a um assembly cuja confian\u00e7a pode ser subvertida atrav\u00e9s de gadget chains<\/em> presentes na pr\u00f3pria Base Class Library do .NET. A comunidade de pesquisa de seguran\u00e7a, incluindo o Zero Day Initiative<\/strong>, vem mapeando essas cadeias h\u00e1 anos, e a presente falha mostra que ainda h\u00e1 superf\u00edcie de ataque relevante em produtos consolidados.<\/p>\n

An\u00e1lise T\u00e9cnica Detalhada da CVE-2026-58644 e sua Explora\u00e7\u00e3o Ativa<\/h3>\n

Para compreender a profundidade do risco da CVE-2026-58644 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong>, precisamos decompor os mecanismos internos do ataque. A classe de vulnerabilidade CWE-502<\/strong> n\u00e3o \u00e9 nova, mas sua periculosidade \u00e9 frequentemente subestimada em ambientes corporativos. Quando um aplicativo .NET utiliza serializadores como BinaryFormatter<\/code>, LosFormatter<\/code>, NetDataContractSerializer<\/code> ou ObjectStateFormatter<\/code> sem a prote\u00e7\u00e3o adequada, qualquer pessoa que possa enviar um payload de dados ao endpoint vulner\u00e1vel pode disparar a instancia\u00e7\u00e3o de objetos arbitr\u00e1rios. Esses objetos, por sua vez, executam c\u00f3digo durante sua constru\u00e7\u00e3o, atrav\u00e9s de seus construtores, finalizadores ou implementa\u00e7\u00f5es de IDisposable<\/code>.<\/p>\n

No contexto do SharePoint, a explora\u00e7\u00e3o da CVE-2026-58644<\/strong> passa por est\u00e1gios bem definidos:<\/p>\n

    \n
  1. Reconhecimento do alvo:<\/strong> o atacante identifica servidores SharePoint expostos \u2014 via Shodan, FOFA, ou scanners personalizados \u2014 e determina a vers\u00e3o exata atrav\u00e9s de fingerprinting<\/em> de respostas HTTP, cabe\u00e7alhos e comportamento de endpoints como \/_vti_bin\/<\/code> ou \/_layouts\/15\/<\/code>.<\/li>\n
  2. Constru\u00e7\u00e3o do payload:<\/strong> utilizando conhecimento pr\u00e9vio das gadget chains<\/em> dispon\u00edveis no .NET Framework<\/strong> instalado no servidor alvo, o atacante cria um objeto serializado malicioso empacotado em formato aceito pelo SharePoint (por exemplo, dentro de um campo de dados de formul\u00e1rio postado, um par\u00e2metro de ViewState ou um cabe\u00e7alho customizado).<\/li>\n
  3. Entrega do payload:<\/strong> o payload \u00e9 enviado atrav\u00e9s de uma requisi\u00e7\u00e3o HTTP aparentemente leg\u00edtima para o servidor SharePoint. Como a vulnerabilidade \u00e9 pr\u00e9-autentica\u00e7\u00e3o, qualquer IP com conectividade de rede pode realizar a tentativa. Em cen\u00e1rios de ataque observados, as requisi\u00e7\u00f5es s\u00e3o frequentemente disfar\u00e7adas como chamadas XML-RPC ou upload de arquivos em \u00e1reas de drop de documentos.<\/li>\n
  4. Gatilho da desserializa\u00e7\u00e3o:<\/strong> o endpoint vulner\u00e1vel recebe os dados, o serializador do .NET \u00e9 invocado, o tipo malicioso \u00e9 resolvido e instanciado, e o c\u00f3digo do atacante \u00e9 executado. Como o SharePoint \u00e9 uma aplica\u00e7\u00e3o IIS de alta integridade, o c\u00f3digo \u00e9 executado com privil\u00e9gios elevados, geralmente NT AUTHORITY\\NETWORK SERVICE<\/code> ou a conta de pool de aplicativos configurada.<\/li>\n
  5. P\u00f3s-explora\u00e7\u00e3o:<\/strong> com execu\u00e7\u00e3o de c\u00f3digo no servidor, o atacante pode estabelecer persist\u00eancia, movimentar-se lateralmente na rede interna (o SharePoint frequentemente \u00e9 integrado a dom\u00ednios Active Directory), acessar bases SQL Server que armazenam conte\u00fado de sites e listas, ou executar ransomware diretamente nos reposit\u00f3rios de documentos.<\/li>\n<\/ol>\n

    A decis\u00e3o da CISA de incluir a CVE-2026-58644<\/strong> no cat\u00e1logo KEV n\u00e3o foi baseada apenas em relatos te\u00f3ricos. A intelig\u00eancia de amea\u00e7as da JRT Technology Solutions identificou, atrav\u00e9s de nosso SOC, tentativas de explora\u00e7\u00e3o originadas de infraestruturas de proxy e VPNs comerciais, sugerindo uma campanha oportunista de larga escala, mas ainda sem atribui\u00e7\u00e3o confirmada a um grupo APT espec\u00edfico. Pesquisadores independentes observaram beacons<\/em> Cobalt Strike sendo carregados em mem\u00f3ria ap\u00f3s a explora\u00e7\u00e3o, indicando que a falha j\u00e1 est\u00e1 integrada a kits de p\u00f3s-explora\u00e7\u00e3o. A presen\u00e7a de tr\u00e1fego de comando e controle (C2) utilizando blockchain, como reportado em campanhas recentes de pacotes npm maliciosos, n\u00e3o pode ser descartada \u2014 o ecossistema de amea\u00e7as est\u00e1 convergindo para t\u00e9cnicas mais evasivas.<\/p>\n

    Produtos e Vers\u00f5es Afetados pela Vulnerabilidade CVE-2026-58644<\/h3>\n

    O escopo de produtos e vers\u00f5es impactados pela CVE-2026-58644<\/strong> \u00e9 relativamente amplo e cobre as principais edi\u00e7\u00f5es do SharePoint Server mantidas pela Microsoft. Abaixo, a lista completa de vers\u00f5es vulner\u00e1veis, com a respectiva severidade no contexto da explora\u00e7\u00e3o ativa:<\/p>\n