Falha no Microsoft SharePoint permite execução remota de código
Uma vulnerabilidade de alta gravidade no Microsoft SharePoint Server pode permitir que usuários autenticados, mesmo com poucos privilégios, executem código arbitrário no servidor. Identificada como CVE-2026-65660, a falha recebeu pontuação 8.8 no CVSS, classificação que indica um risco significativo para ambientes corporativos.
O problema afeta instalações locais do SharePoint, mantidas na infraestrutura das próprias organizações. Estão incluídas as versões SharePoint Server 2016, SharePoint Server 2019 e SharePoint Server Subscription Edition. Ambientes que não aplicaram as atualizações de segurança permanecem expostos a possíveis tentativas de comprometimento.
Como a vulnerabilidade funciona
A falha está relacionada ao mecanismo SafeControls, criado para restringir quais classes e componentes podem ser registrados e executados pelo SharePoint. Esse mecanismo deveria impedir a utilização de elementos potencialmente perigosos, mas uma falha no processamento de determinadas entradas permite contornar essa proteção.
A exploração ocorre no componente ToolPane, responsável por processar configurações e diretivas utilizadas pela aplicação. Quando o servidor interpreta diretivas `Register` manipuladas pelo invasor, determinados caracteres, incluindo aspas, não são tratados corretamente. Essa deficiência permite inserir instruções adicionais depois que as verificações de segurança já foram concluídas.
Na prática, o atacante pode registrar classes .NET potencialmente perigosas e explorar mecanismos de desserialização para executar comandos no servidor. O ataque não exige uma conta administrativa: basta uma credencial válida com permissões limitadas no ambiente SharePoint.
Embora a necessidade de autenticação reduza o alcance de ataques automatizados, esse requisito não elimina o risco. Contas comprometidas, usuários terceirizados, credenciais reutilizadas e perfis internos com acesso básico podem ser utilizados como ponto de entrada.
Atualizações de segurança
A Microsoft disponibilizou correções para as versões afetadas em 11 de agosto de 2026, com pacotes específicos para cada edição do produto. A empresa informou inicialmente que a vulnerabilidade não havia sido divulgada publicamente nem identificada em ataques reais.
Esse cenário se tornou mais preocupante após a publicação de uma análise técnica detalhada sobre o funcionamento da falha. A exposição de informações sobre o método de exploração facilita o trabalho de pesquisadores, mas também pode reduzir o tempo necessário para que criminosos desenvolvam ferramentas contra servidores desatualizados.
Organizações que utilizam SharePoint local devem tratar a aplicação dos patches como uma prioridade operacional. A atualização precisa ser planejada considerando a topologia do ambiente, os servidores que participam do farm, os serviços dependentes e a necessidade de reinicialização ou procedimentos complementares.
Medidas recomendadas para administradores
O primeiro passo é identificar todas as instâncias de SharePoint Server presentes na rede e confirmar quais versões estão em execução. Em ambientes grandes, servidores esquecidos, sistemas de homologação e instalações antigas podem permanecer vulneráveis mesmo depois que os principais nós foram corrigidos.
Também é importante validar se as atualizações foram efetivamente instaladas. A simples execução de um pacote de correção não garante que todos os componentes do farm estejam protegidos. Após o procedimento, os administradores devem revisar os números de versão, verificar os registros de atualização e confirmar a integridade dos serviços.
Enquanto o patch não puder ser aplicado, a organização deve reduzir a superfície de ataque. Entre as ações possíveis estão restringir o acesso ao SharePoint por redes confiáveis, utilizar VPN, limitar a exposição direta à internet e revisar as permissões de contas com acesso à plataforma.
A autenticação multifator também ajuda a diminuir o risco de uso indevido de credenciais roubadas. Embora não corrija a vulnerabilidade no servidor, ela dificulta que um invasor utilize senhas obtidas por phishing, vazamentos ou ataques de força bruta.
Monitoramento e investigação
Equipes de segurança devem acompanhar logs de autenticação, alterações em páginas, modificações de configurações e atividades incomuns no componente ToolPane. A criação inesperada de classes, alterações administrativas fora do horário habitual e conexões de saída originadas do servidor podem indicar tentativa de exploração.
É recomendável centralizar os registros em uma plataforma de monitoramento e estabelecer alertas para eventos anormais. Também devem ser investigadas contas que apresentem comportamento diferente do padrão, como acessos originados de localidades incomuns, uso simultâneo em regiões distintas ou atividades realizadas fora do expediente.
Caso existam indícios de comprometimento, o servidor afetado deve ser isolado de forma controlada, preservando evidências para análise forense. A troca de credenciais, a revisão de privilégios e a busca por persistência maliciosa precisam fazer parte do processo de resposta.
A vulnerabilidade reforça a importância de manter o SharePoint local dentro de um ciclo rigoroso de gestão de correções. Além do sistema operacional e da aplicação principal, componentes adicionais, módulos .NET, integrações e ferramentas de administração também devem ser avaliados.
Por fim, o incidente demonstra que contas de baixo privilégio não devem ser tratadas como inofensivas. Em aplicações complexas, uma falha de validação pode transformar um acesso comum em execução de código no servidor. Por isso, atualização rápida, segmentação de rede, autenticação forte e monitoramento contínuo são medidas essenciais para reduzir o impacto da CVE-2026-65660.