Uma vulnerabilidade crítica de execução remota de código (RCE), CVE-2026-50522, foi divulgada, dia 14 de Julho, afetando o Microsoft SharePoint Server. A falha recebeu CVSS 9.8 e acontece por uma desserialização insegura de dados não confiáveis, permitindo que um atacante remoto execute código arbitrário no servidor vulnerável.

Segundo a Microsoft, a vulnerabilidade afeta as versões SharePoint Server { Subscription Edition, 2019 e Enterprise Server 2016 }, tendo sido corrigida nas atualizações de segurança disponibilizadas durante o ‘Patch Tuesday‘ deste mês de Julho (2026), sendo o maior patch até a data de postagem deste post, contando com 622 vulnerabilidades. A vulnerabilidade foi divulgada com diversas outras, 3 configuradas como zero-days, e  já possui exploração “in the wild”, de acordo com watchTowr.

O SharePoint permanece como um alvo recorrente para agentes maliciosos por atuar como plataforma de colaboração corporativa, armazenamento de documentos, credenciais e informações sensíveis. Historicamente, vulnerabilidades de execução remota de código nesse produto têm sido utilizadas como ponto inicial para campanhas de espionagem, implantação de ‘web shells‘, movimentação lateral e comprometimento de ambientes ‘Active Directory‘.

Cadeia de Ataque

Semelhantemente ao caso de desserialização do React2Shell, o ataque inicia-se quando um servidor Microsoft SharePoint vulnerável processa dados enviados por um cliente remoto. Devido a uma falha de desserialização de objetos não confiáveis, o servidor pode interpretar dados especialmente construídos como objetos válidos durante seu processamento interno.

Como consequência, um invasor consegue induzir o SharePoint a executar código arbitrário com os privilégios do serviço responsável pelo processamento da requisição. A partir desse ponto, o comprometimento pode evoluir para a instalação de componentes persistentes, coleta de credenciais, acesso a documentos armazenados na plataforma e utilização do servidor como ponto de apoio para movimentação lateral dentro da rede corporativa.

Por se tratar de um servidor frequentemente integrado a serviços como Active Directory, SQL Server e aplicações corporativas, o impacto da vulnerabilidade ultrapassa o comprometimento do próprio SharePoint, podendo permitir o acesso a recursos adicionais da infraestrutura caso medidas de segmentação e privilégio mínimo não estejam adequadamente implementadas.

Mitigações

Dentre as recomendações para reduzir o risco decorrente da vulnerabilidade, destacam-se:

• Atualizar imediatamente o Microsoft SharePoint Server para uma versão que contenha as correções de segurança disponibilizadas pela Microsoft;
• Confirmar que a atualização foi aplicada corretamente em todos os servidores da fazenda (farm), incluindo componentes auxiliares como o Workflow Manager, quando utilizado;
• Evitar a exposição direta de servidores SharePoint à Internet sempre que possível, restringindo o acesso aos usuários e redes autorizadas;
• Monitorar logs do IIS, eventos do SharePoint e atividades administrativas incomuns em busca de indicadores de comprometimento;
• Revisar periodicamente permissões administrativas, contas de serviço e mecanismos de autenticação utilizados pela plataforma.

Mesmo na ausência ao KEV, recomenda-se reduzir o tempo entre a disponibilização e a aplicação de atualizações de segurança, especialmente em servidores expostos à Internet ou responsáveis pelo armazenamento de informações críticas da organização.

Fontes

[1] MICROSOFT. Description of the security update for SharePoint Server Subscription Edition: July 14, 2026 (KB5002882). 2026. Disponível em: https://support.microsoft.com/en-us/servicing/office/update/2026/5002882. Acesso em: 21 jul. 2026.

[2] THE HACKER NEWS. Critical SharePoint RCE (CVE-2026-50522) Patched by Microsoft. 2026. Disponível em: https://thehackernews.com/2026/07/critical-sharepoint-rce-cve-2026-50522.html. Acesso em: 21 jul. 2026.

[3] MICROSOFT. Microsoft Security Update Guide – CVE-2026-50522. 2026. Disponível em: https://msrc.microsoft.com/update-guide/. Acesso em: 21 jul. 2026.