Microsoft SharePoint Server Spoofing Vulnerability

Vulnerabilidade de spoofing no Microsoft SharePoint Server causada por validação inadequada de entrada (CWE-20), explorável sem autenticação e sem interação do usuário. O CVSS de 6.5 é moderado porque o impacto se limita a confidencialidade e integridade baixas — não há execução de código nem impacto em disponibilidade —, mas a CISA confirmou exploração ativa e existe PoC pública, o que eleva o risco prático muito além do que a nota numérica sugere.

A falha está classificada como CWE-20 (Improper Input Validation) pela CISA. O fornecedor não detalhou publicamente, nas fontes disponíveis até o momento desta análise, qual componente ou endpoint do SharePoint processa a entrada de forma inadequada, nem qual mecanismo interno (autenticação, geração de link, resposta de servidor) é abusado para produzir o spoofing. O vetor CVSS indica ataque via rede (AV:N), sem privilégios (PR:N) e sem interação do usuário (UI:N), o que descarta cenários de phishing clássico dependentes de clique — mas não elimina a possibilidade de a exploração completa depender de o atacante conseguir posicionar-se em algum fluxo de comunicação com o servidor.

Os impactos declarados (C:L, I:L, A:N) são consistentes com um cenário clássico de spoofing: o atacante consegue fazer o servidor ou um componente confiar em uma origem, identidade ou conteúdo forjado, sem conseguir executar código, escalar privilégios ou derrubar o serviço. Isso normalmente serve como primitiva para ataques secundários (por exemplo, abrir caminho para phishing mais convincente, manipulação de conteúdo exibido, ou contornar alguma checagem de origem), mas o advisory oficial e as fontes consultadas não descrevem esse encadeamento.

A falta de detalhe técnico público além do CWE e da descrição genérica é o próprio ponto relevante desta página: não há, nas fontes disponíveis, indicação de qual parâmetro, cabeçalho HTTP, ou API do SharePoint está envolvido. Qualquer afirmação mais específica sobre o mecanismo exato seria especulação e foi deliberadamente omitida.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N) descreve um ataque remoto, de baixa complexidade, sem necessidade de credenciais e sem exigir que a vítima clique em nada — características que tornam a exploração acessível a qualquer atacante com conectividade de rede até uma instância exposta do SharePoint. A métrica E:F do vetor CVSS indica que já existe exploit funcional documentado, e a inclusão no catálogo KEV da CISA confirma exploração ativa em ambientes reais, não apenas prova de conceito em laboratório.

As fontes consultadas não descrevem os detalhes do exploit público nem o passo a passo usado por atacantes — apenas confirmam sua existência e uso ativo. Como o impacto declarado é spoofing com ganho de confidencialidade/integridade baixo, o resultado final típico desse tipo de falha é o atacante conseguir apresentar identidade, conteúdo ou origem falsificados dentro do ambiente SharePoint, potencialmente usado como etapa inicial de campanhas de engenharia social ou de manipulação de confiança contra usuários da organização, e não como comprometimento direto do servidor.

A CISA definiu prazo de correção de 28/04/2026 (14 dias após a inclusão em 14/04/2026) sob a BOD 22-01, prazo reservado a vulnerabilidades com evidência de exploração ativa e risco considerado alto para agências federais — um indicador indireto da gravidade real percebida, mesmo com CVSS moderado.

A recomendação primária é aplicar a atualização de segurança do fornecedor referente a este CVE nas instâncias de SharePoint Enterprise Server 2016, SharePoint Server 2019 e SharePoint Server Subscription Edition. As fontes disponíveis não trazem o número específico de KB, build ou versão exata que corrige a falha — essa informação deve ser confirmada diretamente no advisory do MSRC (link abaixo) antes de qualquer ação de remediação, para evitar aplicar patch incorreto.

Se a atualização não puder ser aplicada imediatamente, a CISA orienta seguir as mitigações publicadas pelo próprio fornecedor no advisory ou, na ausência de mitigação viável, descontinuar o uso do produto exposto — não há, nas fontes consultadas, uma configuração paliativa específica (como desabilitar um recurso ou aplicar regra de WAF) documentada para esta CVE. Reduzir a exposição do SharePoint à rede (restringir acesso à internet, exigir VPN/autenticação de rede antes de alcançar o serviço) diminui a superfície de ataque, mas não corrige a causa raiz e não deve ser tratado como substituto do patch.

Não há evidência, nas fontes analisadas, de que controles de aplicação genéricos (antivírus de endpoint, EDR sem regra específica) detectem ou bloqueiem a exploração — a mitigação real depende do patch do fornecedor.

As fontes consultadas (advisory da CISA e descrição oficial) não descrevem indicadores de comprometimento, assinaturas de tráfego ou entradas de log específicas associadas à exploração desta CVE. Não há, portanto, sinal confiável documentado para busca retroativa — isso deve ser tratado como lacuna de inteligência, não como ausência de risco: a exploração ativa está confirmada pela CISA, mas o método de detecção não foi publicado nas fontes disponíveis até a elaboração desta página.