Microsoft SharePoint Remote Code Execution Vulnerability

Falha de code injection (CWE-94) no SharePoint Server on-premises (2016, 2019 e Subscription Edition) que permite execução remota de código através do endpoint ToolPane. Isolada, exige autenticação com privilégio baixo, mas foi explorada em massa a partir de 7 de julho de 2025 encadeada com CVE-2025-49706 (spoofing), formando a cadeia conhecida como "ToolShell", que torna o ataque efetivamente não autenticado contra qualquer instância exposta à internet. Não afeta SharePoint Online/Microsoft 365 — só implantações on-premises.

A CVE é classificada como CWE-94 (Improper Control of Generation of Code / Code Injection) no processamento de requisições no endpoint ToolPane do SharePoint. O fornecedor descreve como "authorized attacker", refletindo o PR:L do vetor CVSS — ou seja, isoladamente a falha pressupõe algum nível de autenticação no SharePoint antes de disparar a injeção. As fontes públicas analisadas não detalham o parâmetro ou classe .NET exata manipulada; documentar isso com precisão exigiria a análise binária dos patches, que não está coberta pelo material consultado aqui.

O que torna a CVE crítica na prática não é o code injection isolado, mas o encadeamento com CVE-2025-49706, uma vulnerabilidade de spoofing que permite contornar a camada de autenticação do SharePoint. Combinadas, as duas falhas eliminam o pré-requisito de credencial e permitem RCE completo contra um servidor SharePoint exposto na internet sem qualquer interação do usuário (UI:N) e sem necessidade de conta.

Há ainda um agravante estrutural: a atualização original publicada para CVE-2025-49704 foi contornada por uma nova técnica catalogada como CVE-2025-53770 (patch bypass), e a CISA afirma explicitamente que as correções voltadas a CVE-2025-53770 oferecem "proteção mais robusta" do que as emitidas originalmente para CVE-2025-49704. Isso significa que aplicar apenas o patch histórico desta CVE pode não ser suficiente.

Na exploração observada em campo, o ataque começa com uma requisição POST ao endpoint ToolPane do SharePoint, usada tanto para reconhecimento quanto para disparar a cadeia de bypass de autenticação (CVE-2025-49706) seguida da injeção de código (CVE-2025-49704). O único pré-requisito real de infraestrutura é ter um servidor SharePoint on-premises acessível pela rede — os alvos observados eram todos internet-facing.

Após a execução bem-sucedida, os atacantes fazem upload de um web shell disfarçado de página ASPX, tipicamente nomeado spinstall0.aspx (variantes: spinstall.aspx, spinstall1.aspx, spinstall2.aspx), colocado na estrutura de LAYOUTS do SharePoint. Esse script tem uma função específica: extrair o MachineKey (ValidationKey e DecryptionKey) do servidor e devolvê-lo ao atacante via uma requisição GET subsequente. Com essas chaves, o atacante consegue forjar tokens __VIEWSTATE válidos, o que permite reobter execução de código mesmo depois que o servidor é corrigido — a menos que as chaves sejam trocadas manualmente.

A Microsoft atribui a exploração a dois grupos estatais chineses, Linen Typhoon e Violet Typhoon, e a um terceiro ator, Storm-2603, que usou a cadeia para implantar o ransomware Warlock. A atividade de exploração começou por volta de 7 de julho de 2025, antes da divulgação pública em 19-20 de julho — caracterizando exploração zero-day generalizada contra organizações com SharePoint exposto.

A correção definitiva é aplicar as atualizações de segurança específicas por versão: Subscription Edition (KB5002768); SharePoint 2019, exigindo as duas atualizações KB5002754 e KB5002753 (language pack); SharePoint Enterprise Server 2016, exigindo KB5002760 e KB5002759 (language pack). Como o patch original para CVE-2025-49704 foi contornado (CVE-2025-53770), é necessário garantir que a versão instalada cubra também essa correção mais recente — aplicar só o patch histórico desta CVE não é garantia de proteção completa.

Se o patch não puder ser aplicado imediatamente, a Microsoft recomenda um conjunto de mitigações compensatórias, nenhuma delas substituindo o patch: habilitar AMSI (Antimalware Scan Interface) em modo Full com Microsoft Defender Antivírus ou equivalente em todas as implantações on-premises do SharePoint, para bloquear a exploração não autenticada; rotacionar as ASP.NET machine keys do servidor (ValidationKey/DecryptionKey); reiniciar o IIS após a rotação (a Microsoft elevou esse passo a destaque em atualização posterior do blog); e implantar EDR (Defender for Endpoint ou equivalente) para detecção pós-exploração.

Um ponto crítico frequentemente ignorado: mesmo em servidores já corrigidos, se as machine keys foram roubadas antes da correção, o atacante ainda consegue forjar tokens válidos — por isso a rotação de chaves é mandatória, não opcional, mesmo após atualizar. A CISA recomenda desconectar da internet qualquer SharePoint Server que já tenha atingido fim de vida/suporte (2013 e anteriores), já que não há patch disponível para essas versões.

Procurar por requisições POST direcionadas ao endpoint ToolPane do SharePoint nos logs do IIS/servidor web, especialmente vindas de IPs externos sem sessão autenticada legítima associada. Verificar a presença de arquivos ASPX suspeitos no diretório LAYOUTS com nomes do padrão spinstall*.aspx (spinstall0.aspx e variantes numeradas), que são o indicador mais direto de comprometimento pós-exploração observado pela Microsoft. Requisições GET subsequentes a esses arquivos, retornando dados de MachineKey, confirmam exfiltração de chave criptográfica. A Microsoft publicou IOCs e queries de hunting específicas no seu blog de resposta a incidente, que devem ser usadas como referência primária para caça a essa cadeia.