CVE-2026-55040: Bypass de Autenticação JWT no SharePoint é Explorado Ativamente

Como o CVE-2026-55040 Funciona: Uma Falha na Validação de JWT

A causa raiz é uma falha de autenticação fraca (CWE-1390) no pipeline de validação de JWT do SharePoint. De acordo com a Rapid7, que descobriu o bug, a vulnerabilidade decorre de várias fraquezas distintas nas classes SPJsonWebSecurityTokenHandlerV2 e SPJsonWebSecurityBaseTokenHandlerV2 do SharePoint ao analisar tokens Bearer de serviço a serviço . Um invasor pode enviar um JWT manipulado que o servidor aceita sem verificação criptográfica adequada, permitindo efetivamente que ele assuma a identidade de qualquer usuário do site do SharePoint ou administrador do farm .

A Microsoft descreveu a falha simplesmente: "O recurso de autenticação poderia ser contornado, pois esta vulnerabilidade permite a personificação" . A exploração permite que um invasor divulgue arquivos e modifique dados, embora a Microsoft afirme que não pode impactar a disponibilidade do sistema .

Linha do Tempo da Divulgação e Armamento

• 14 de julho de 2026: Microsoft e Rapid7 divulgam o CVE-2026-55040 e lançam patches .
• 10 de agosto de 2026: Rapid7 publica uma análise técnica detalhada da vulnerabilidade .
• 12 de agosto de 2026: Rapid7 lança um PoC público como script em Python .
• Dias após 12 de agosto: Atacantes começam a usar ativamente o exploit na natureza .

O pesquisador da Rapid7, Stephen Fewer, descobriu a falha, observando que ela é a primeira de uma cadeia de duas vulnerabilidades que, quando combinadas com uma segunda falha (ainda sob embargo), podem alcançar execução remota de código não autenticada contra servidores SharePoint vulneráveis .

Orientações de Mitigação da CISA

A CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA) emitiu orientações urgentes de fortalecimento em 14 e 15 de julho de 2026, e as atualizou conforme a exploração aumentava . Organizações que executam SharePoint on-premises devem tomar as seguintes ações imediatamente:

• Aplicar as atualizações cumulativas de julho de 2026 em todos os servidores SharePoint do farm. Verifique a instalação bem-sucedida por meio do Assistente de Configuração de Produtos do SharePoint ou PowerShell — uma atualização do Windows Update por si só não garante a correção completa . As atualizações específicas incluem KB 5002891/KB 5002892 para SharePoint 2016 e KB 5002883 para SharePoint 2019 .
• Não exponha servidores SharePoint diretamente à internet. Se o acesso pela internet for necessário, coloque o servidor atrás de um proxy reverso de Camada 7 ou um appliance de segurança de aplicação equivalente que exija autenticação e inspecione as requisições .
• Bloqueie o acesso externo ao SharePoint Central Administration — esta interface administrativa nunca deve ser acessível pela internet .
• Habilite e verifique a integração com a Antimalware Scan Interface (AMSI) para cada aplicação web do SharePoint .
• Rotacione as chaves de máquina do IIS se houver qualquer sinal de comprometimento, e audite em busca de artefatos de invasão antes de rotacionar as credenciais roubadas .
• Estabeleça log e monitoramento personalizados para detectar padrões de autenticação anômalos, e revise os logs de autenticação e permissão do período anterior à implantação do patch .

Contexto Mais Amplo de Exploração: Três Outras CVEs Sob Ataque Ativo

O CVE-2026-55040 não é um incidente isolado. No mesmo dia em que os patches foram lançados, a CISA confirmou a exploração ativa de três outras CVEs do SharePoint :

• CVE-2026-32201 (CVSS 6.5) — Uma vulnerabilidade de spoofing decorrente de validação de entrada inadequada, explorada desde pelo menos abril de 2026 .
• CVE-2026-45659 (CVSS 8.8) — Execução remota de código via desserialização de dados não confiáveis. Em 11 de agosto de 2026, a CISA confirmou que gangues de ransomware começaram a abusar desta falha .
• CVE-2026-56164 (CVSS 5.3, mas explorável remotamente sem autenticação) — Uma falha de escalonamento de privilégio sendo ativamente encadeada em ataques para roubar chaves de máquina do IIS e obter acesso persistente .

Os atacantes estão combinando essas vulnerabilidades: usando CVE-2026-32201 para acesso inicial, CVE-2026-45659 ou CVE-2026-56164 para execução de código, e CVE-2026-55040 como um multiplicador de força para bypass de autenticação . A campanha de exploração coordenada foi apelidada de "SharePoint chain" por alguns pesquisadores .