Duas vulnerabilidades no Microsoft SharePoint estão sendo exploradas por criminosos em ataques capazes de comprometer servidores sem que o invasor precise possuir previamente uma conta válida.
A informação apresentada na imagem está correta. As falhas são identificadas como CVE-2026-55040 e CVE-2026-63520 e, quando utilizadas em conjunto, podem permitir execução remota de código sem autenticação contra instalações vulneráveis do SharePoint Server.
O cenário ganhou ainda mais gravidade porque autoridades de cibersegurança já confirmaram que as vulnerabilidades estão sendo utilizadas em ataques reais.
A primeira falha recebeu pontuação 9,1 de 10, considerada crítica. A segunda possui pontuação 8,1, classificada como de alta severidade.
Primeira falha permite contornar autenticação
A CVE-2026-55040 é uma vulnerabilidade relacionada a autenticação fraca no Microsoft SharePoint.
Ela permite que um atacante remoto e não autenticado contorne um mecanismo de segurança do produto.
Sozinha, essa característica já representa um problema grave porque elimina uma das principais barreiras existentes entre a internet e recursos protegidos do servidor.
A vulnerabilidade foi divulgada pela Microsoft em julho e posteriormente ganhou atenção ainda maior quando surgiram evidências de exploração.
A CISA, agência americana de segurança cibernética e infraestrutura, adicionou a CVE ao catálogo de vulnerabilidades conhecidas como exploradas, o Known Exploited Vulnerabilities Catalog (KEV).
A inclusão significa que não se trata apenas de uma falha teoricamente explorável: existem evidências de uso por atacantes.
Segunda vulnerabilidade permite execução de código
A CVE-2026-63520 completa o cenário.
Essa vulnerabilidade está relacionada à validação inadequada de entradas no SharePoint e pode permitir que um atacante execute código remotamente.
Ela recebeu pontuação CVSS de 8,1.
Quando a capacidade de contornar a autenticação da CVE-2026-55040 é combinada com a execução de código proporcionada pela CVE-2026-63520, surge uma cadeia de ataque particularmente perigosa.
O invasor pode chegar ao servidor sem credenciais válidas e explorar a segunda vulnerabilidade para executar código.
É justamente essa combinação que levou organizações de segurança a emitirem alertas urgentes.
Ataque pode acontecer remotamente
Uma das características mais preocupantes é que a exploração ocorre pela rede.
Isso significa que um SharePoint vulnerável e acessível externamente pode representar uma superfície de ataque importante.
O criminoso não precisa necessariamente estar dentro da rede corporativa.
Também não é necessária interação de um funcionário, como abrir um arquivo malicioso ou clicar em um link, para que a vulnerabilidade em si seja explorada.
Em servidores expostos diretamente à internet, esse cenário aumenta significativamente o risco.
Exploração ativa já foi confirmada
O caso ultrapassou a etapa de divulgação de vulnerabilidades.
Autoridades internacionais de cibersegurança alertaram para exploração ativa das falhas do SharePoint.
A Cyber Security Agency de Singapura, por exemplo, publicou em 28 de agosto um alerta afirmando que atacantes estavam explorando vulnerabilidades no produto para contornar controles de segurança e executar código pela rede.
Também existe código de prova de conceito disponível publicamente para exploração.
A divulgação de PoCs costuma acelerar a corrida entre administradores que precisam atualizar sistemas e criminosos procurando servidores que permaneceram vulneráveis.
SharePoint é um alvo especialmente valioso
O impacto potencial aumenta devido à função que o SharePoint exerce dentro das empresas.
A plataforma é utilizada para armazenar e compartilhar documentos, organizar informações internas, criar intranets e integrar diferentes processos corporativos.
Em determinadas organizações, um servidor SharePoint pode conter contratos, documentos estratégicos, arquivos de projetos, informações financeiras, dados pessoais e documentos administrativos.
Conseguir executar código em um desses servidores pode fornecer ao invasor um ponto privilegiado dentro da infraestrutura.
Dependendo da configuração e das permissões existentes, um comprometimento inicial também pode servir de base para ataques contra outros sistemas.
Risco vai além do próprio SharePoint
Em uma invasão corporativa, o primeiro servidor comprometido raramente é o objetivo final.
Depois de conseguir acesso, criminosos normalmente tentam descobrir quais outros recursos estão disponíveis.
Isso pode envolver busca por credenciais, movimentação lateral pela rede, reconhecimento de servidores, coleta de informações e tentativa de ampliar privilégios.
Em campanhas de ransomware, esse processo pode terminar na criptografia de diferentes sistemas.
Em operações de espionagem, o atacante pode preferir permanecer silenciosamente na infraestrutura e extrair documentos.
Por isso, uma vulnerabilidade de execução remota de código em um sistema corporativo amplamente integrado merece atenção especial.
SharePoint Online não deve ser confundido com SharePoint Server
Existe uma distinção importante para empresas que utilizam serviços Microsoft.
Os alertas estão relacionados às versões SharePoint Server instaladas e administradas pelas próprias organizações, e não devem ser interpretados como uma vulnerabilidade generalizada de todos os usuários do SharePoint na nuvem.
As versões afetadas incluem:
- Microsoft SharePoint Enterprise Server 2016
- Microsoft SharePoint Server 2019
- Microsoft SharePoint Server Subscription Edition
O problema é particularmente relevante para ambientes on-premises, nos quais a responsabilidade pela instalação das atualizações de segurança fica com a organização que administra o servidor.
Versões antigas aumentam preocupação
SharePoint Server 2016 e SharePoint Server 2019 chegaram ao fim de seus respectivos ciclos de suporte estendido da Microsoft.
Isso adiciona outra preocupação.
Manter sistemas corporativos críticos fora de suporte significa enfrentar um cenário em que novas vulnerabilidades podem surgir enquanto a disponibilidade de atualizações futuras se torna limitada ou inexistente.
Organizações ainda dependentes dessas versões precisam considerar não apenas a instalação das correções disponíveis para as falhas atuais, mas também uma estratégia de migração para plataformas suportadas.
Brasil também emitiu alerta
O risco não passou despercebido pelas autoridades brasileiras.
O CTIR Gov, ligado ao Gabinete de Segurança Institucional da Presidência da República, publicou em agosto um alerta sobre a vulnerabilidade crítica CVE-2026-55040.
O órgão recomendou que instituições identificassem imediatamente instalações vulneráveis do SharePoint e aplicassem as correções disponibilizadas pelo desenvolvedor.
O alerta é especialmente relevante porque SharePoint está presente em empresas, instituições públicas e organizações de grande porte.
Administradores precisam atualizar imediatamente
A principal recomendação é objetiva: instalar as atualizações mais recentes disponibilizadas pela Microsoft.
As correções foram disponibilizadas para as versões afetadas.
Como existe exploração ativa, o problema não deve ser tratado como uma atualização que pode simplesmente aguardar o próximo ciclo convencional de manutenção.
Servidores acessíveis pela internet merecem prioridade.
Além de atualizar, equipes de segurança devem revisar logs e procurar sinais de comprometimento anterior.
Aplicar o patch impede a exploração da vulnerabilidade corrigida, mas não elimina automaticamente um invasor que eventualmente tenha conseguido entrar antes da atualização.
Atualizar não substitui investigação
Essa diferença é fundamental em vulnerabilidades que já estão sendo exploradas.
Imagine que um atacante comprometa um servidor na segunda-feira.
A empresa instala a atualização na terça.
A vulnerabilidade utilizada para entrar foi corrigida, mas qualquer mecanismo de persistência instalado pelo criminoso pode continuar funcionando.
Por isso, ambientes que permaneceram vulneráveis durante o período de exploração conhecida precisam considerar uma análise adicional.
Logs de autenticação, processos executados, arquivos modificados, contas criadas, conexões externas e alterações de configuração podem ajudar a identificar atividades suspeitas.
Cadeia de falhas mostra como ataques modernos são construídos
O episódio também demonstra uma característica cada vez mais comum das operações ofensivas.
Nem sempre uma única vulnerabilidade fornece tudo aquilo que o invasor precisa.
Atacantes combinam diferentes falhas.
Uma permite ultrapassar autenticação.
Outra oferece execução de código.
Uma terceira pode eventualmente ampliar privilégios.
Quando utilizadas em sequência, vulnerabilidades que individualmente possuem determinados limites podem formar uma cadeia muito mais poderosa.
No caso do SharePoint, a combinação entre CVE-2026-55040 e CVE-2026-63520 transforma duas falhas distintas em um caminho potencial para execução remota de código sem autenticação.
Falha crítica reforça corrida entre patches e criminosos
A divulgação pública de vulnerabilidades inicia uma corrida silenciosa.
De um lado estão Microsoft, pesquisadores, autoridades de segurança e administradores tentando corrigir os sistemas.
Do outro estão grupos criminosos procurando servidores que continuam expostos.
Quando provas de conceito se tornam públicas, a barreira técnica necessária para reproduzir um ataque pode diminuir significativamente.
E, como o SharePoint ocupa uma posição estratégica dentro de inúmeras organizações, qualquer servidor esquecido ou desatualizado pode se transformar em uma porta de entrada valiosa.
Neste caso, o alerta é especialmente urgente porque já existe exploração ativa.
Para organizações que mantêm SharePoint Server em infraestrutura própria, portanto, a pergunta não deve ser apenas se o patch será instalado.
É preciso verificar se ele já foi instalado e se o ambiente apresenta sinais de que alguém chegou antes.
