A cadeia, explicada

A CVE-2026-55040 é uma falha de validação de tokens JWT que permite a um atacante remoto e sem autenticação personificar um utilizador ou administrador do SharePoint. A CVE-2026-63520 é uma falha distinta nos Business Connectivity Services do SharePoint, uma instanciação insegura de tipos .NET que permite a um atacante construir uma cadeia de objetos à medida para executar comandos arbitrários do sistema operativo com os privilégios da conta de serviço do SharePoint. Nenhuma das duas falhas é catastrófica por si só, mas o investigador da Rapid7 Stephen Fewer revelou ambas à Microsoft como uma única cadeia já em maio, e juntas equivalem a execução remota de código sem autenticação contra o SharePoint Server Subscription Edition, o SharePoint Server 2019 e o SharePoint Enterprise Server 2016.

A Microsoft corrigiu as duas metades em calendários distintos: a CVE-2026-55040 chegou com o Patch Tuesday de julho de 2026, e a CVE-2026-63520 seguiu-se um mês depois, a 11 de agosto de 2026, juntamente com as atualizações da base de conhecimento KB5002893, KB5002894, KB5002896, KB5002905 e KB5002906 para as diferentes edições afetadas. Segundo a Rapid7, ainda não há exploração confirmada da cadeia RCE completa em ambiente real, já que a divulgação foi coordenada. Para a primeira metade a história é diferente.

Porque importa dividir a correção em dois meses

A Rapid7 publicou uma análise técnica detalhada com prova de conceito para a CVE-2026-55040, e a empresa de threat intelligence Defused afirma que os seus honeypots de SharePoint já registaram atacantes reais a usar essa prova de conceito pública para contornar a autenticação, dias após a sua publicação. A própria Microsoft ainda não confirmou exploração em ambiente real, mas uma rede de deteção independente a intercetar tentativas reais é um sinal forte de que a análise oportunista já começou.

A parte incómoda é o calendário. Como as duas metades da cadeia foram corrigidas com um mês de intervalo, uma organização que aplicou diligentemente a correção de julho passou várias semanas a acreditar que o problema de contorno de autenticação estava resolvido, enquanto a segunda metade, a que completa a RCE, ficou por corrigir até 11 de agosto. Quem ainda não tenha aplicado em conjunto as duas atualizações KB de agosto e a correção de julho está atualmente a executar um percurso documentado e demonstrado publicamente para execução de código sem autenticação no seu próprio servidor SharePoint -- não um percurso teórico.

O que verificar no seu próprio ambiente SharePoint

Este é claramente um problema on-premises: o SharePoint Online não é afetado, mas as instalações de SharePoint Server 2016, 2019 e Subscription Edition são comuns em organismos públicos, universidades e empresas de média dimensão europeias e britânicas que nunca migraram totalmente para a nuvem. A lista prática de verificação consiste em confirmar que ambas as atualizações KB de julho e agosto estão instaladas em conjunto, não apenas uma delas, porque uma correção parcial deixa a cadeia intacta.

A recomendação permanente da CISA também vale a pena seguir independentemente do estado das correções: não expor um servidor SharePoint on-premises diretamente à internet e, onde tiver de estar acessível, colocá-lo atrás de um proxy inverso de camada 7 ou um controlo equivalente ao nível da aplicação capaz de filtrar o tipo de pedidos manipulados de que esta cadeia depende. Dado que já existe uma prova de conceito pública e funcional para metade da cadeia, trate isto esta semana como um incidente ativo a gerir, não como um ponto de rotina no ciclo de correções.

Leia a seguir: A correção do SharePoint que ignorou em maio já é urgente  |  O ransomware Gunra explora falhas da Fortinet corrigidas em 2025