Cibercriminosos exploram falha crítica no SharePoint Server e conseguem controle total dos servidores
Uma vulnerabilidade grave no Microsoft SharePoint Server está sendo ativamente explorada por cibercriminosos para executar código remotamente, sem qualquer tipo de autenticação prévia. Catalogada como CVE-2025-53770, a falha recebeu pontuação CVSS 9,8 – quase o máximo possível – e atinge exclusivamente instalações locais da plataforma, usadas por empresas para colaboração e gestão de documentos internos.
O problema está ligado a um cenário clássico, mas ainda extremamente perigoso: desserialização insegura de dados enviados ao servidor. Em termos simples, o SharePoint aceita determinados objetos recebidos em requisições e os reconstrói na memória sem checagens suficientes. Com requisições especialmente manipuladas, um atacante é capaz de injetar conteúdo malicioso nesse processo e, como consequência, conseguir que o servidor execute comandos arbitrários. Tudo isso sem credenciais válidas e sem qualquer interação do usuário.
Essa exploração não ocorre de forma isolada. Ela faz parte de uma cadeia de ataque conhecida como ToolShell, que combina diferentes vulnerabilidades para ampliar o impacto. Nessa cadeia, além da CVE-2025-53770, entram em cena as falhas CVE-2025-49704 e CVE-2025-49706, exploradas em conjunto para obter acesso inicial, elevar privilégios e se manter dentro do ambiente corporativo. As vulnerabilidades CVE-2025-53770 e CVE-2025-53771 surgem, inclusive, como variantes projetadas justamente para contornar proteções e correções que haviam sido adicionadas anteriormente, o que mostra uma clara evolução da técnica por parte dos invasores.
Entre as versões afetadas estão o SharePoint Server 2016, o SharePoint Server 2019 e o SharePoint Server Subscription Edition, usados com frequência em ambientes on-premises que demandam maior controle de dados ou integração com sistemas legados. Já o SharePoint Online, disponibilizado como serviço na infraestrutura em nuvem do Microsoft 365, não é afetado por essa falha específica, o que reforça a diferença de superfície de ataque entre ambientes locais e serviços gerenciados.
Uma vez dentro do servidor, os operadores de ameaça não se limitam a explorar a brecha pontualmente. O objetivo é transformar o servidor comprometido em um ponto de apoio persistente dentro da rede corporativa. Para isso, eles costumam instalar web shells – pequenos scripts maliciosos que funcionam como “portas dos fundos” – permitindo que comandos sejam executados à distância, a qualquer momento, usando apenas o navegador. A partir dessas web shells, é possível iniciar novas ferramentas, movimentar-se lateralmente para outros sistemas e exfiltrar dados sensíveis.
Outro ponto crítico é o roubo das chaves criptográficas do ASP.NET presentes no ambiente. Essas chaves são usadas para assinar e validar tokens de autenticação e cookies de sessão. Se um atacante consegue obtê-las, passa a ter a capacidade de criar tokens falsos que o sistema trata como legítimos. Na prática, isso significa que mesmo depois de aplicar patches e corrigir a vulnerabilidade original, os criminosos podem continuar acessando o ambiente como se fossem usuários confiáveis, mantendo-se invisíveis por longos períodos.
Para as empresas, o risco não se limita a vazamento de documentos armazenados no SharePoint. Como essa plataforma se integra a diversos outros sistemas internos – incluindo aplicações críticas, bancos de dados e até soluções baseadas em IA – um ataque bem-sucedido pode servir como ponto de entrada para comprometer modelos, pipelines de dados e automações inteligentes. Sistemas que utilizam IA para análise de documentos, workflows ou tomada de decisão podem sofrer manipulação de dados de treinamento, alteração de resultados ou sabotagem de processos.
Nesse contexto, cresce a busca por soluções de Threat Intelligence apoiadas em IA, capazes de cruzar telemetria de múltiplas fontes, detectar padrões de ataque em tempo real e sinalizar campanhas coordenadas como a cadeia ToolShell. Ferramentas modernas de inteligência de ameaças já empregam modelos avançados para identificar comportamentos anômalos específicos de SharePoint e outros servidores de aplicação, auxiliando equipes de segurança a reagirem antes que o atacante consolide seu controle sobre o ambiente.
Do lado da defesa ativa, abordagens de Pentest “AI Native” começam a ganhar destaque. Em vez de depender apenas de testes esporádicos, essas soluções utilizam IA para simular continuamente técnicas usadas por grupos de cibercrime, explorando automaticamente novas vulnerabilidades, variantes e caminhos de ataque. Ao fazer isso de forma controlada, ajudam as organizações a identificar brechas como a CVE-2025-53770 antes que sejam encontradas e exploradas de forma maliciosa.
Para os administradores de SharePoint, algumas medidas se tornam urgentes e inadiáveis. Em primeiro lugar, é essencial aplicar todas as atualizações de segurança disponibilizadas para as versões 2016, 2019 e Subscription Edition. A correção pontual da vulnerabilidade reduz a janela de ataque, mas não resolve, por si só, eventuais comprometimentos já existentes. Por isso, é recomendável combinar o patching com uma revisão minuciosa de logs, identificando acessos incomuns, falhas de autenticação em massa, chamadas suspeitas às APIs e padrões atípicos de uso.
Limitar a exposição do SharePoint diretamente à internet é outra recomendação central. Sempre que possível, o acesso deve ser intermediado por VPNs, proxies seguros ou soluções de autenticação forte, como MFA. Restringir o acesso apenas a endereços IP ou redes específicas diminui consideravelmente as chances de exploração automatizada por bots que varrem a internet em busca de servidores vulneráveis. Em muitos incidentes recentes, a simples publicação do portal diretamente na web foi o fator que facilitou a exploração.
Um passo importante é realizar uma varredura em busca de web shells, arquivos suspeitos nas pastas da aplicação, processos desconhecidos em execução e tarefas agendadas que não façam parte da rotina normal do servidor. Ataques bem-sucedidos quase sempre deixam esses artefatos de persistência. Verificar a integridade de arquivos instalados, comparar com versões de referência e usar ferramentas antimalware especializadas em detecção de web shells pode fazer a diferença entre um incidente contido e uma invasão prolongada.
Também vale atenção especial às chaves criptográficas ASP.NET e demais segredos usados pelo SharePoint. Caso exista qualquer suspeita de comprometimento, é prudente realizar a rotação dessas chaves, revogar tokens existentes e redefinir sessões de usuários. Essa etapa, embora trabalhosa, é fundamental para quebrar o acesso persistente obtido a partir de tokens forjados. Sem isso, o ambiente pode permanecer vulnerável mesmo depois de corrigida a falha original.
Em paralelo às ações técnicas, boas práticas de governança de acesso e segmentação de rede ajudam a reduzir o impacto de possíveis invasões. Garantir que o SharePoint não tenha mais privilégios do que o estritamente necessário, segmentar o tráfego entre servidores, isolar bases de dados sensíveis e aplicar o princípio de menor privilégio para contas de serviço diminuem a capacidade de movimentação do atacante dentro do ambiente. Quanto mais limitado for o alcance inicial, menor o potencial de dano.
Monitoramento contínuo também se torna peça-chave. Adoção de soluções de SIEM e EDR/XDR, com regras específicas para eventos de SharePoint e IIS, permite identificar comportamentos anômalos em estágios iniciais. Alertas baseados em padrões de acesso incomuns, execução de comandos atípicos ou alteração de arquivos de configuração podem sinalizar a presença de ToolShell e outras cadeias de ataque sofisticadas. Integrar esses alertas com playbooks de resposta orquestrada ajuda a automatizar passos iniciais de contenção.
Por fim, a vulnerabilidade CVE-2025-53770 reforça uma lição recorrente em segurança: plataformas amplamente utilizadas, como o SharePoint, continuarão sendo alvos preferenciais de grupos maliciosos, especialmente quando operam em ambientes locais administrados pelas próprias empresas. Manter um ciclo rigoroso de atualização, investir em automação inteligente de defesa e revisar periodicamente a superfície de exposição são atitudes essenciais para evitar que falhas de desserialização ou outras brechas se tornem porta de entrada para incidentes de grande escala.