Falha de desserialização permite que atacantes autenticados como Site Owner executem código remotamente e roubem chaves de máquina para persistência em servidores locais.
| Componente | Microsoft Office SharePoint Server (versões on-premises: Subscription Edition, 2019 e 2016) |
| Vetor | Requisição de rede maliciosa explorando desserialização de dados não confiáveis por usuário autenticado com privilégios de Site Owner |
| Impacto | Execução Remota de Código (RCE) com privilégios de sistema e exfiltração de chaves de máquina do IIS para manutenção de acesso persistente |
| Prioridade | Aplicação emergencial do patch de julho de 2026 e rotação obrigatória de chaves de máquina e credenciais em ativos expostos |
Uma vulnerabilidade crítica de execução remota de código (RCE) no Microsoft Office SharePoint Server, identificada como CVE-2026-50522, está sendo explorada ativamente por agentes de ameaça após a divulgação de uma prova de conceito (PoC) pública. Classificada com pontuação CVSS de 9.8, a falha reside na desserialização de dados não confiáveis e permite que um invasor autenticado com o nível mínimo de privilégios de Site Owner injete e execute código arbitrário no servidor alvo. A Microsoft corrigiu a questão como parte do ciclo Patch Tuesday de julho de 2026, creditando a descoberta ao pesquisador da DEVCORE, conhecido como "splitline". Atribuições recentes indicam que a complexidade do ataque é baixa e o vetor é baseado em rede, o que significa que a exploração pode ser realizada repetidamente pela internet sem que o atacante necessite de conhecimento profundo prévio do sistema alvo.
Além da execução de código, observações de campo indicam que exploradores estão utilizando está vulnerabilidade especificamente para realizar atividades de pós-exploração. O foco principal dessas operações é o roubo de chaves de máquina (machine keys) do SharePoint. O acesso a essas chaves criptográficas permite aos adversários contornar mecanismos de validação de estado e autenticação, garantindo persistência no hospedeiro comprometido mesmo após a aplicação de correções de segurança. A Agência de Segurança de Cibersegurança e Infraestrutura (CISA) dos EUA emitiu alerta sobre o tema, ressaltando que está falha integra um conjunto de vulnerabilidades no SharePoint que estão sendo ativamente utilizadas para obter acesso não autorizado a instâncias locais (on-premises),movimentando-se lateralmente e implantando malwares.
O mecanismo da falha explora o processo de desserialização realizado pelo SharePoint ao processar dados específicos nas requisições. Para acionar a vulnerabilidade, o atacante deve primeiramente comprometer ou possuir credenciais válidas de uma conta com permissões de Site Owner dentro da instância do SharePoint. Essa permissão é comum em ambientes corporativos delegados, o que amplia significativamente a superfície de ataque em comparação a falhas que exigem privilégios de administrador de domínio ou de servidor. Uma vez autenticado, o invasor constrói uma requisição de rede contendo payloads de dados seriados maliciosos. Ao ingerir esses dados não confiáveis, o aplicativo tenta reconstruir os objetos serializados, executando inadvertently código arbitrário no contexto do serviço do SharePoint.
A execução bem-sucedida do código concede ao atacante controle sobre o servidor subjacente. O fluxo de ataque observadoRecentementeinclui a extração imediata das chaves de máquina usadas pelo Internet Information Services (IIS) e pelo ASP.NET. Essas chaves são armazenadas na configuração da aplicação e são essenciais para proteger informações sensíveis, como tickets de autenticação e ViewState. Ao obter a machine key, o atacante pode forjar tokens de autenticação válidos ou assinar dados maliciosos, permitindo o acesso contínuo ao sistema sem depender da vulnerabilidade original ou das credenciais roubadas inicialmente. Essa técnica transforma a intrusão em um comprometimento persistente de alta dificuldade de detecção e erradicação, visto que a rota de entrada parece legítima aos olhos dos controles de acesso padrão.
O impacto desta vulnerabilidade é restrito a implantações locais (on-premises) do Microsoft SharePoint Server. Ambientes baseados exclusivamente na nuvem (SharePoint Online) não são afetados por essa falha específica, pois a gestão de segurança e a infraestrutura subjacente são tratadas pela Microsoft. No entanto, organizações que mantêm servidores SharePoint em suas próprias instalações ou em infraestruturas virtualizadas privadas estão sob risco imediato, especialmente aquelas que não aplicaram as atualizações de segurança de julho de 2026.
Todas as versões suportadas do SharePoint Server local são susceptíveis, incluindo a Subscription Edition, as versões 2019 e 2016. A gravidade é exacerbada pela facilidade de exploração através da rede pública. Servidores expostos à internet, ou que aceitam tráfego de VPNs accessíveis a funcionários com credenciais comprometidas, servem como vetores primários. O requisito de privilégios de Site Owner não mitiga o risco considerando a facilidade com que contas de usuários com essas permissões podem ser alvo de campanhas de phishing ou uso de credenciais vazadas.
- Microsoft SharePoint Server Subscription Edition (on-premises)
- Microsoft SharePoint Server 2019
- Microsoft SharePoint Server 2016
- Instâncias com contas de Site Owner comprometidas ou mal configuradas
- Servidores IIS configurados com chaves de máquina padrão ou recuperáveis
A detecção de exploração da CVE-2026-50522 requer monitoramento ativo de anomalias nos processos do SharePoint e do IIS. Equipes de segurança devem procurar por padrões de tráfego que indiquem tentativas de injeção de objetos serializados ou acessos anômalos a arquivos de configuração que contêm as chaves de máquina. Como o ataque permite a execução de código arbitrário, a presença de processos filhos suspeitos originados do pool de aplicações do SharePoint é um forte indicador de comprometimento. Logs de aplicações devem ser correlacionados com tentativas de acesso usando contas de Site Owner fora do horário comercial ou de localizações geográficas atípicas.
A telemetria deve focar também na identificação de tentativas de exfiltração das chaves de criptografia. Uma vez que a exploração bem-sucedida muitas vezes leva ao roubo desses segredos em uma única requisição, spikes no tráfego de saída ou acessos de leitura a endpoints de configuração do IIS por usuários de aplicação devem ser investigados. A CISA recomenda buscar evidências de pós-exploração, tais como a criação de novos agendadores de tarefas, deployment de binários executáveis não assinados em diretórios temporários do servidor e modificações nos logs do Windows para ocultar rastros de atividade.
- Criação de processos suspeitos (ex: cmd.exe, powershell.exe) por contas de serviço do SharePoint
- Acessos de leitura não autorizados a chaves de máquina do IIS (machineKey)
- Tráfego de rede contendo dados serializados incomuns ou malformados direcionados ao SharePoint
- Atividade de conta de Site Originada de IPs incomuns followed por execução de código
- Presença de novosBinários ou scripts em locais de persistência do sistema operacional
A resposta imediata a está ameaça envolve a aplicação do patch de segurança fornecido pela Microsoft em julho de 2026. No entanto, pesquisadores de segurança alertam que a simples aplicação da correção é insuficiente para ambientes que já possam ter sido comprometidos. Devido à capacidade dos atacantes de roubar as chaves de máquina antes da aplicação do patch, é imperativo realizar a rotação de todas as credenciais e segredos criptográficos em ativos que possam ter sido expostos. Isso inclui a regeneração das machine keys no IIS e a redefinição de senhas para contas com privilégios elevados que foram utilizadas como vetor de entrada.
Além da correção técnica, gestores de segurança devem conduzir uma auditoria rigorosa nas permissões de usuários. O princípio do menor privilégio deve ser aplicado para garantir que o acesso de Site Owner seja concedido apenas quando estritamente necessário. Organizações também devem segmentar suas redes internas para limitar o movimento lateral de um servidor SharePoint comprometido para outros sistemas críticos. A revisão de logs de acesso e análise forense das implantações do SharePoint são recomendadas para determinar se a exploração 已经 ocorrido antes da mitigação, permitindo a contenção de breaches ativos.
- Aplicar imediatamente as atualizações de segurança de julho de 2026 para o SharePoint Server
- Rotacionar todas as machine keys do IIS e credenciais de aplicação potencialmente expostas
- Auditar e reduzir o número de contas com privilégios de Site Owner
- Reiniciar os serviços do SharePoint e IIS após a aplicação dos patches para garantir a carga da correção
- Monitorar logs de segurança por tentativas de exploração retroativas ou persistência via chaves roubadas
 em Exploração Ativa Após Divulgação de PoC){kind=link}
0 Comentários