CVE-2026-45659: Microsoft Corrige Nova Falha Crítica no SharePoint Server

A Microsoft disponibilizou uma correção de emergência para uma nova e perigosa vulnerabilidade no SharePoint Server, apenas duas semanas após as atualizações regulares do Patch Tuesday. A falha, identificada como CVE-2026-45659, permite que um invasor com credenciais básicas de acesso assuma o controle total de um servidor, destacando um padrão alarmante de falhas críticas em implantações locais (on-premises) do SharePoint. Para as equipes de segurança que gerenciam seus próprios servidores SharePoint, este não é apenas mais um patch — é uma prioridade máxima.

Análise da Vulnerabilidade: Como o CVE-2026-45659 Funciona

O CVE-2026-45659 é um tipo clássico e perigoso de falha de software: uma vulnerabilidade de desserialização de dados não confiáveis, formalmente classificada como CWE-502 . Em termos simples, o SharePoint aceita e processa "pacotes" de dados complexos dos usuários. Devido à falha, um invasor pode criar um pacote malicioso que, quando "desempacotado" (desserializado) pelo servidor, executa um código arbitrário escolhido por ele.

As especificações técnicas tornam essa exploração particularmente fácil para um invasor:

• Pontuação CVSS 3.1: 8.8 (Alta) .
• Vetor de Ataque: Exploração via rede .
• Complexidade do Ataque: Baixa .
• Privilégios Necessários: Baixos. O invasor precisa apenas de privilégios básicos de 'Membro do Site' no servidor SharePoint .
• Interação do Usuário: Nenhuma. O ataque pode ser realizado sem que uma vítima clique em um link ou baixe um arquivo .
• Impacto: Alto sobre confidencialidade, integridade e disponibilidade. Um ataque bem-sucedido pode levar ao comprometimento total do sistema e a um vazamento de dados .

Esta combinação de privilégios baixos, nenhuma interação do usuário e acesso via rede torna a falha um alvo principal para invasores, pois uma única conta de usuário comprometida pode servir como porta de entrada para o controle total do servidor.

Versões Afetadas

Este é um problema para ambientes locais (on-premises). A vulnerabilidade afeta as três versões a seguir do SharePoint Server. O SharePoint Online não é afetado .

• Microsoft SharePoint Server Subscription Edition (versões anteriores à build 16.0.5552.1002)
• Microsoft SharePoint Server 2019 (versões anteriores à build 16.0.10417.20128)
• Microsoft SharePoint Enterprise Server 2016 (versões anteriores à build 16.0.5552.1002)

Para cada versão afetada, a Microsoft forneceu uma atualização e um número de build específicos que os administradores podem usar para verificar o nível do patch. A correção foi disponibilizada em 12 de maio de 2026 como parte de uma atualização de segurança padrão, mas foi ainda mais enfatizada após sua gravidade ser esclarecida .

Um Padrão de Ataques de Desserialização no SharePoint

O CVE-2026-45659 não é um incidente isolado. É o mais recente de uma série de vulnerabilidades de desserialização de alto impacto que têm afetado implantações locais do SharePoint.

Um exemplo importante é o CVE-2026-20963, uma falha semelhante que teve uma pontuação CVSS confirmada de 9.8 e era tão perigosa que a CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) a adicionou ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) em 18 de março de 2026, após confirmar exploração ativa . O CERT-EU relatou que a Microsoft precisou atualizar seu comunicado sobre o CVE-2026-20963 para esclarecer que a vulnerabilidade podia ser explorada por um invasor não autenticado — ou seja, nenhum login era necessário .

Outros problemas relacionados, como o CVE-2026-33110, também envolvem desserialização de dados não confiáveis e afetam as mesmas linhas de produtos . O padrão é claro: invasores e pesquisadores de segurança estão examinando intensamente os mecanismos de desserialização do SharePoint, e falhas críticas estão sendo descobertas em um ritmo alarmante. Essa tendência torna a aplicação de patches robusta e oportuna mais crítica do que nunca para os administradores do SharePoint.

Estratégias de Mitigação e Defesa

Aplicar o patch é a única solução completa, mas uma abordagem de defesa em profundidade oferece proteção adicional. Para organizações que precisam executar o SharePoint localmente, aqui estão os passos recomendados:

1. Aplique o Patch Imediatamente: Esta é a ação mais importante. Localize e implemente a atualização de segurança específica para a sua versão do SharePoint, priorizando qualquer servidor acessível pela internet .
2. Audite e Restrinja Privilégios de Usuário: Como o CVE-2026-45659 requer apenas acesso de 'Membro do Site', uma revisão completa das permissões é fundamental. Adote o princípio do menor privilégio e remova acessos desnecessários .
3. Reforce o Monitoramento do Servidor: Implante uma solução de Detecção e Resposta de Endpoint (EDR) para identificar atividades pós-exploração. As equipes de segurança devem observar a criação suspeita de processos a partir do pool de aplicações do SharePoint (w3wp.exe), conexões de rede de saída incomuns ou web shells, e comportamento anormal de contas de serviço.
4. Verifique a Correção de Falhas Relacionadas: Um patch para o CVE-2026-45659 é essencial, mas um servidor permanece vulnerável se ainda não tiver sido corrigido para o CVE-2026-20963, que foi explorado ativamente. Use este ciclo de patches para confirmar que todas as atualizações de segurança relacionadas ao SharePoint foram aplicadas .
5. Reduza a Superfície de Ataque: Se os servidores SharePoint não precisarem ser acessíveis pela internet pública, implemente restrições em nível de rede para bloquear todo o acesso externo. Para serviços que precisam estar voltados para o público, garanta que eles estejam atrás de um Web Application Firewall (WAF) configurado com regras para bloquear ataques comuns de desserialização.