Falhas no SharePoint e no MikroTik RouterOS são exploradas em ataques
Duas vulnerabilidades que afetam o Microsoft SharePoint Server e o MikroTik RouterOS entraram no catálogo de falhas com exploração conhecida da Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA). A inclusão indica que há evidências de ataques reais – e não apenas a possibilidade teórica de abuso.
Uma das falhas, identificada como CVE-2026-50522, afeta o SharePoint Server instalado localmente e recebeu pontuação 9,8 no sistema CVSS, considerado um nível crítico. O problema está relacionado à desserialização de dados não confiáveis e pode permitir que um invasor execute código remotamente em servidores vulneráveis.
A Microsoft disponibilizou uma correção em julho de 2026. No entanto, a exploração teria começado depois que uma prova de conceito se tornou pública. Entre as atividades observadas estão tentativas de obter as chamadas *machine keys* do servidor. Essas chaves podem ser usadas para preservar o acesso ao ambiente, inclusive depois da aplicação de medidas corretivas.
Por isso, instalar a atualização não deve ser tratado como garantia de que o risco foi eliminado. Se um servidor já tiver sido invadido, o atacante pode ter deixado mecanismos de persistência ou obtido credenciais e chaves. Organizações que utilizam versões locais do SharePoint precisam verificar os registros e a configuração do sistema, além de considerar a troca de credenciais e chaves possivelmente expostas.
A outra vulnerabilidade, CVE-2026-67279, está presente no MikroTik RouterOS e envolve a máquina de estados do protocolo SSH. Ela pode ser combinada com a CVE-2026-86060 em uma sequência de ataque conhecida como MikroTrick, capaz de levar à tomada administrativa de roteadores cujo SSH esteja acessível pela internet.
Nesse cenário, o invasor pode avançar por uma etapa que normalmente exigiria a conclusão da autenticação. A segunda falha permite transformar esse acesso em privilégios administrativos completos, sem que seja necessário apresentar uma senha ou chave SSH válida.
A técnica descrita utiliza o valor `-2` como nome de usuário. O RouterOS interpreta essa entrada como uma opção do programa de login, permitindo que dados controlados pelo atacante influenciem a identidade e o nível de privilégio. Em incidentes observados, um dos sinais de possível invasão foi a criação de uma conta chamada `ops` com permissões elevadas.
Os registros relacionados à atividade maliciosa remontam a pelo menos 2 de setembro, um dia antes da publicação inicial das correções da MikroTik. Entre as versões corrigidas estão RouterOS 6.49.21, 7.23.4 e 7.24.2; também há versões posteriores disponíveis nos respectivos canais de atualização.
A exploração da falha no roteador depende de o serviço SSH estar acessível ao invasor. Nas configurações domésticas padrão da MikroTik, o SSH não fica exposto à internet enquanto as regras originais de firewall são mantidas. O risco aumenta quando a administração remota é liberada para redes não confiáveis ou quando as regras de acesso são alteradas sem controles adicionais.
Medidas recomendadas para administradores
A primeira providência é atualizar o SharePoint Server e o RouterOS para versões corrigidas. No caso dos roteadores, também é importante revisar as regras de firewall e restringir o SSH a redes administrativas confiáveis. Se o acesso remoto não for necessário, desativar o serviço reduz a superfície exposta.
A atualização deve ser acompanhada por uma investigação. No SharePoint, é recomendável procurar sinais de execução de código não autorizada, alterações incomuns e exposição de chaves ou credenciais. Nos equipamentos MikroTik, a análise pode incluir tentativas de login com o usuário `-2`, contas desconhecidas – especialmente `ops` – e modificações que não tenham sido autorizadas.
Também convém examinar scripts, tarefas agendadas, túneis, proxies e outras configurações do roteador. Esses recursos podem ser usados para manter acesso, redirecionar tráfego ou ocultar atividades maliciosas. Uma configuração legítima, mas desconhecida pela equipe responsável, deve ser investigada antes de ser removida.
Se houver indícios de comprometimento, o equipamento deve ser isolado da rede sempre que possível. Preservar logs e configurações antes de restaurá-lo ajuda a documentar o incidente e a entender seu alcance. Depois, a orientação é reconstruir o dispositivo a partir de uma configuração confiável, em vez de simplesmente manter as definições existentes.
A mesma lógica vale para os servidores SharePoint: corrigir a vulnerabilidade é essencial, mas não substitui a verificação de possível invasão anterior à atualização. A organização deve avaliar quais sistemas estavam expostos, por quanto tempo e se contas ou segredos acessíveis a partir deles precisam ser renovados.
A inclusão das duas falhas no catálogo da CISA reforça a necessidade de agir com prioridade. Empresas que mantêm SharePoint em infraestrutura própria e administradores de roteadores MikroTik acessíveis pela internet devem combinar atualização, redução da exposição e busca por sinais de comprometimento. A resposta completa depende não apenas de fechar a vulnerabilidade, mas também de confirmar que o invasor não deixou acesso persistente.