O CVE-2026-50522 é uma vulnerabilidade crítica de execução remota de código no Microsoft SharePoint Server on-premise, com pontuação CVSS de 9,8, resultante da desserialização de dados não confiáveis. A CISA adicionou o CVE ao catálogo Known Exploited Vulnerabilities em 22 de julho de 2026, depois que uma prova de conceito pública foi divulgada e honeypots capturaram tentativas de exploração bem-sucedidas em questão de horas. Para o SOC, o risco não termina com a aplicação do patch: atacantes podem extrair machine keys do IIS e manter acesso persistente mesmo após a atualização, o que transforma o caso em um problema de resposta a incidentes, e não apenas de gestão de vulnerabilidades.
Vulnerabilidade e impacto no SOC
A Microsoft lançou a correção em 14 de julho de 2026 dentro do Patch Tuesday, abrangendo SharePoint Enterprise Server 2016, SharePoint Server 2019 e SharePoint Server Subscription Edition. A inconsistência documentada pela Microsoft sobre o requisito de autenticação — o vetor CVSS indica PR:N (sem privilégios necessários), enquanto o FAQ do advisory sugere que o atacante precisa ser ao menos Site Owner — recomenda que equipes de operação tratem qualquer servidor afetado exposto à internet como prioritário, sem depender de controles de autenticação como barreira definitiva. A falha integra uma onda sustentada de exploração que também atingiu CVE-2026-58644, CVE-2026-56164 e CVE-2026-45659 no SharePoint, sinalizando interesse contínuo de atacantes em servidores expostos, caminhos de autenticação e desserialização insegura.
Mecanismo de exploração do ataque
O vetor público de exploração atinge o fluxo de sign-in WS-Federation do SharePoint. O atacante insere um payload malicioso de desserialização .NET BinaryFormatter dentro de um cookie SecurityContextToken forjado e o envia via POST para /_trust/default.aspx. Se o componente vulnerável desserializar o token, o código é executado no contexto do servidor, sem necessidade de interação do usuário. Após obter execução remota, os atacantes relatadamente extraem as machine keys do IIS — chaves criptográficas usadas para proteger e validar dados relacionados à autenticação. Com essas chaves em mãos, conseguem forjar tokens válidos e se passar por usuários legítimos mesmo depois que o servidor recebe o patch de segurança. Esse vetor de persistência muda a natureza da resposta: aplicar a atualização fecha o ponto de entrada, mas não invalida chaves roubadas, não remove malware e não conclui uma investigação de incidente.
Procedimento de triagem e resposta
Trate todo servidor SharePoint exposto após a divulgação do exploit como incidente confirmado, não apenas como item de patching. O procedimento abaixo ordena a resposta para evitar que atacantes mantenham persistência após a correção:
- Aplicar a atualização de segurança correta para a versão implantada e verificar o build corrigido em cada servidor do farm.
- Reduzir a exposição externa removendo o acesso direto à internet ou usando um reverse proxy autenticado na camada 7.
- Investigar logs de IIS e SharePoint em busca de requisições anômalas, atividade de w3wp.exe, web shells e acesso indevido a machine keys.
- Remover artefatos de intrusão — arquivos maliciosos, processos, mecanismos de persistência e ferramentas de coleta de chaves — antes de rotacionar segredos.
- Rotacionar machine keys do IIS e do ASP.NET e quaisquer credenciais que os atacantes possam ter acessado.
- Reiniciar o IIS após a rotação de chaves e monitorar tentativas suspeitas de autenticação e atividade de continuidade.
- Habilitar a integração AMSI em todas as aplicações web do SharePoint; no Subscription Edition, usar Full Mode quando operacionalmente viável.
A verificação do build corrigido é essencial para confirmar que a atualização foi realmente aplicada em todos os nós do farm:
| Produto | Build corrigido | Atualização |
|---|---|---|
| SharePoint Enterprise Server 2016 | 16.0.5561.1001 | KB5002891 |
| SharePoint Server 2019 | 16.0.10417.20175 | KB5002883 |
| SharePoint Server Subscription Edition | 16.0.19725.20434 | KB5002882 |
Sinais de detecção para o SOC
Detecção eficaz depende de caçar comportamentos específicos deixados pela exploração e pela persistência. Os analistas devem priorizar os seguintes indicadores durante a triagem de alertas relacionados a servidores SharePoint:
- Requisições POST para /_trust/default.aspx com cookies SecurityContextToken anormalmente grandes ou codificados.
- Picos de uso de CPU ou memória do processo w3wp.exe sem cargas de trabalho explicáveis.
- Criação ou modificação inesperada de arquivos em diretórios web do SharePoint, possível indicador de web shell.
- Acesso a arquivos de configuração contendo machine keys (web.config, machine.config) por processos ou contas incomuns.
- Novos logins com tokens válidos em horários atípicos, possível uso de credenciais forjadas com chaves roubadas.
- Conexões de saída do servidor SharePoint para infraestrutura desconhecida, possível exfiltração ou canal de comando e controle.
Para correlacionar detecção e resposta, o SOC pode aplicar os padrões de TTP e regras de detecção já documentados para ameaças de persistência, além de seguir o roteiro de playbooks de resposta a incidentes para padronizar o encerramento do caso. Plataformas de XDR ajudam a correlacionar telemetria de endpoint, rede e identidade durante a investigação e a reduzir falsos positivos.
