CISA alerta para exploração ativa de falha crítica de RCE no Microsoft SharePoint

O SharePoint é uma plataforma de colaboração e gerenciamento de conteúdo da Microsoft, usada por empresas para intranets, portais de documentos e fluxos de trabalho. Ele roda em servidores locais (on-premises), como o SharePoint Server 2016, 2019 e Subscription Edition, e não depende do Azure ou do Microsoft 365 para funcionar. A falha CVE-2026-45659 ocorre durante a desserialização de dados não confiáveis dentro de funcionalidades legítimas do SharePoint, como processamento de formulários ou objetos compartilhados entre usuários autenticados. O ataque não exige privilégios administrativos: basta ser membro de um site (permissão mínima PR:L), o que amplia drasticamente a superfície de ataque, especialmente em ambientes com centenas ou milhares de colaboradores com acesso básico.

Essa vulnerabilidade segue um padrão já visto em outros produtos empresariais: RCE via desserialização em sistemas on-premises com atualizações lentas. Diferente de serviços em nuvem (como SharePoint Online), versões locais exigem correção manual e testes internos antes da aplicação, o que explica por que a CISA impôs prazo rígido de 1 dia (até 4 de julho) para agências federais norte-americanas. A Microsoft classificou a exploração como 'menos provável', mas os dados de campo da CISA desmentem essa avaliação: há evidência concreta de uso em cadeias de ataque reais, inclusive em redes já comprometidas por Storm-2603.

Em abril, a CEVIU noticiou a inclusão no KEV de uma falha de 17 anos no Excel CVE-2009-0238, mostrando que sistemas legados ainda são alvo prioritário. Em junho, a cobertura sobre o Ivanti Sentry CVE-2026-10520 destacou o padrão de exploração acelerada após a publicação de patches, o mesmo que se repete agora com o SharePoint. Mas aqui há uma mudança crítica: enquanto as falhas anteriores exigiam engenharia social (como abertura de arquivo malicioso) ou acesso prévio ao sistema, a CVE-2026-45659 permite RCE diretamente via rede, com apenas credenciais de usuário comum, sem necessidade de interação do alvo. Isso transforma o SharePoint em vetor de ataque lateral mais eficiente do que o Excel ou o Ivanti, especialmente em redes com controle de acesso fraco.

Empresas brasileiras que usam SharePoint Server on-premises, especialmente em setores regulados como finanças, saúde e governo, estão em risco imediato. A falha não depende de configuração incomum: afeta instalações padrão com permissões típicas de colaboração. Como a CISA já observou em ataques anteriores (Fortinet, Palo Alto, F5), a exploração ativa dessa vulnerabilidade costuma ser o primeiro passo para implantação de ransomware, roubo de credenciais ou criação de backdoors persistentes. E o caso do Storm-2603 mostra que isso já está acontecendo: o grupo usa SharePoint como porta de entrada para implantar Velociraptor, tunelamento via Cloudflare e até manipulação de drivers de segurança, tudo a partir de um único ponto fraco explorável com acesso mínimo.