Microsoft SharePoint Remote Code Execution Vulnerability

Falha de deserialização de dados não confiáveis (CWE-502) no SharePoint Server que permite execução remota de código por um atacante autenticado com privilégios baixos. A CISA confirmou exploração ativa e incluiu a falha no catálogo KEV com prazo de mitigação de apenas três dias, sinal de que o risco real é maior do que o EPSS baixo (3,2%) sugere isoladamente.

A vulnerabilidade está classificada como CWE-502 (Deserialization of Untrusted Data) em componente do Microsoft SharePoint Server. O padrão típico desse tipo de falha em SharePoint é um endpoint ou serviço interno que desserializa objetos .NET (via BinaryFormatter, ViewState, ou mecanismo de serialização proprietário do SharePoint) sem validar a origem ou o tipo dos dados recebidos, permitindo que um payload malicioso construído pelo atacante seja instanciado e execute código no contexto do processo do servidor (geralmente w3wp.exe com privilégios elevados de service account).

O vetor CVSS (AV:N/AC:L/PR:L/UI:N) indica que a exploração ocorre pela rede, sem interação do usuário-vítima, com baixa complexidade de ataque, mas exige privilégio baixo (PR:L) — ou seja, o atacante precisa de uma conta válida no SharePoint, ainda que com permissões mínimas, para atingir o endpoint vulnerável. Isso classifica a falha como pós-autenticação, não uma RCE anônima direta pela internet.

O fornecedor não publicou (nas fontes disponíveis) detalhes de qual endpoint, workflow ou feature específica do SharePoint carrega o desserializador vulnerável. A descrição oficial da Microsoft é deliberadamente genérica — 'deserialization of untrusted data... allows an authorized attacker to execute code over a network' — sem indicar se o vetor passa por API REST, serviço SOAP legado, workflow do SharePoint Designer, ou outro componente.

O impacto é total: CVSS aponta C:H/I:H/A:H, ou seja, comprometimento completo de confidencialidade, integridade e disponibilidade do servidor afetado, consistente com execução de código arbitrário no contexto do processo do SharePoint.

A exploração exige autenticação prévia no SharePoint — uma conta de usuário com permissões baixas já é suficiente, segundo o vetor CVSS (PR:L). Isso descarta cenários de RCE anônima 'aponte e dispare' pela internet aberta, mas mantém alto risco em qualquer ambiente onde o SharePoint tenha usuários externos, parceiros, contratados ou contas de serviço com credenciais fracas/reaproveitadas — cenário comum em portais corporativos e extranets.

A CISA confirmou exploração ativa no mundo real (entrada no catálogo KEV) e há PoC pública circulando, o que reduz drasticamente a barreira técnica para replicar o ataque: uma vez que um atacante obtém qualquer credencial válida (via phishing, credential stuffing, ou vazamento de senha), o passo de exploração da deserialização em si tende a ser direto com a PoC disponível.

O catálogo KEV não classifica a falha como usada em campanhas de ransomware conhecidas ('Unknown'), mas o prazo de mitigação de apenas 3 dias (adicionado em 01/07/2026, vencimento em 04/07/2026) — um dos prazos mais curtos que a CISA costuma dar — indica que a agência considera a explabilidade e o impacto excepcionalmente altos, provavelmente por já haver exploração observada contra alvos federais ou críticos.

A ação recomendada pela CISA é aplicar as mitigações do fornecedor conforme as instruções do próprio advisory da Microsoft, seguindo as diretrizes da BOD 26-04 (priorização de atualizações de segurança baseada em risco). As fontes disponíveis não trazem o número de build, KB ou versão exata de correção publicada pela Microsoft — essa informação deve ser confirmada diretamente no MSRC (msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45659) antes de qualquer decisão de patch, pois não há dado confiável aqui para citar números específicos sem risco de erro.

Se a atualização não puder ser aplicada dentro do prazo, a CISA orienta seguir a guidance de BOD 26-04 para serviços em nuvem ou, na ausência de mitigação disponível, descontinuar o uso do produto — uma recomendação incomum e que reforça a gravidade percebida pela agência. Como controle compensatório imediato, restringir e monitorar contas com acesso ao SharePoint (especialmente contas externas, de parceiros ou com privilégios mínimos que ainda assim satisfaçam PR:L), reforçar MFA em todas as contas com acesso ao portal, e isolar a instância de SharePoint de exposição direta à internet quando possível reduzem a superfície de ataque, mas não substituem o patch.

Não existe mitigação de rede genérica (como bloqueio de porta ou regra de WAF simples) documentada nas fontes para esta CVE especificamente — qualquer WAF rule precisaria ser fornecida ou validada pela própria Microsoft/CISA, e não há registro disso nas fontes lidas.

Não há, nas fontes disponíveis, indicadores de comprometimento (IOCs), assinaturas de payload ou padrões de log específicos publicados pela Microsoft ou pela CISA para esta CVE. Como a falha envolve deserialização, sinais genéricos a investigar incluem: erros de deserialização anômalos ou exceções não tratadas em logs do IIS/ULS do SharePoint, picos de uso de w3wp.exe correlacionados a requisições de contas de baixo privilégio, criação de processos filho inesperados a partir do worker process do SharePoint, e tentativas de autenticação seguidas de acesso a endpoints pouco usados do SharePoint por contas que normalmente não os acessam. Na ausência de assinatura oficial, a detecção depende de EDR no host e análise comportamental — não há assinatura de rede ou string de payload confirmada para busca em IDS/IPS a partir das fontes consultadas.