A falha SharePoint CVE-2026-58644 é uma vulnerabilidade de desserialização de dados não confiáveis (CWE-502) no Microsoft SharePoint Server que permite a um atacante não autenticado executar código arbitrário remotamente, com pontuação CVSS 3.1 de 9,8 (Crítica). Para o SOC, isso significa tratar qualquer ativo SharePoint on-premises como alvo de campanha ativa: a CISA confirmou exploração em andamento e incluiu a falha no catálogo de Vulnerabilidades Conhecidas como Exploradas (KEV) em 16 de julho de 2026, com prazo de remediação federal em 19 de julho de 2026. A ação imediata é confirmar as versões afetadas, aplicar as atualizações de segurança lançadas em 14 de julho de 2026 e ativar a detecção baseada em host, já que não foram divulgados indicadores de comprometimento baseados em rede até o momento.
Zero-day confirmado no SharePoint on-premises
A Microsoft publicou o aviso de segurança para o CVE-2026-58644 em 14 de julho de 2026, data em que as atualizações de Patch Tuesday corrigiram a falha nas versões on-premises do SharePoint Server. A exploração foi detectada antes da disponibilização dos patches, o que reclassifica tecnicamente a falha como um zero-day: havia exploits funcionando contra o produto enquanto nenhuma correção existia em ambiente algum. Para o analista de triagem, isso eleva a prioridade de qualquer alerta que toque um servidor SharePoint acima da média do turno.
O escopo de versões determina a priorização. As versões afetadas, segundo o registro oficial no NVD, são o Microsoft SharePoint Enterprise Server 2016 (anteriores a 16.0.5556.1005), o Microsoft SharePoint Server 2019 (anteriores a 16.0.10417.20153) e o Microsoft SharePoint Server Subscription Edition (anteriores a 16.0.19725.20384). Ambientes em SharePoint Online dentro do Microsoft 365 não são impactados por esta classe de falha, o que permite ao SOC reduzir imediatamente o perímetro de busca aos farms on-premises.
| Produto afetado | Build vulnerável | Ação de remediação |
|---|---|---|
| SharePoint Enterprise Server 2016 | anterior a 16.0.5556.1005 | Aplicar atualização de julho de 2026 |
| SharePoint Server 2019 | anterior a 16.0.10417.20153 | Aplicar atualização de julho de 2026 |
| SharePoint Server Subscription Edition | anterior a 16.0.19725.20384 | Aplicar atualização de julho de 2026 |
Sinais de exploração para o SOC
A detecção da exploração do CVE-2026-58644 depende, neste momento, quase inteiramente de controles baseados em host, porque a Microsoft e a CISA ainda não divulgaram endereços IP, domínios ou URLs como indicadores de rede. O SOC deve concentrar a telemetria no Microsoft Defender e na interface AMSI (Antimalware Scan Interface) habilitada em cada aplicação web do SharePoint. As assinaturas de detecção associadas à atividade observada incluem Exploit:Script/SuspSignoutReqBody.A, que faz varredura no corpo da requisição e aplica-se ao SharePoint Server Subscription Edition, e Exploit:Script/ToolPaneAuthBypass.A, que examina cabeçalhos de requisição e aplica-se às versões 2016, 2019 e Subscription Edition.
A falha de desserialização abre caminho para execução de código no contexto do processo do SharePoint, e o que vem depois — webshell, coleta de credenciais e pivô para o Active Directory — é o mesmo conjunto de técnicas que o time já deveria cobrir em regras de movimento lateral. O ponto de partida para regras Sigma em SharePoint on-premises é correlacionar eventos do AMSI, logs do IIS com corpo de requisição anômalo e linhagem de processos do w3wp.exe. Esse princípio de detecção comportamental vale para detecção de ransomware e para a resposta a sequestro de contas.
Priorização de patch e prazo KEV
Sob a directiva BOD 26-04, agências federais civis dos Estados Unidos precisam aplicar o patch ou desconectar os servidores SharePoint afetados até 19 de julho de 2026 — uma janela de remediação de poucos dias a partir da inclusão no KEV. Embora o mandato formal se aplique ao governo federal, o prazo funciona como sinal de prioridade para qualquer SOC: se o governo impõe três dias para corrigir, o tempo médio de resposta do seu turno precisa caber nessa janela para ambientes críticos. O registro no NVD classifica a exploração como automatable e de impacto técnico total (SSVC), o que justifica tratar a falha como prioridade de remediação máxima antes de outros itens do backlog.
A superfície de exposição é ampla. Aproximadamente 10.000 instâncias do SharePoint Server expostas à internet são rastreadas globalmente pela Shadowserver Foundation, representando repositórios de documentos, portais de intranet e sistemas de workflow de organizações que escolheram SharePoint on-premises por soberania de dados ou compliance. O SOC deve cruzar o inventário interno com essa exposição externa para decidir onde o patch entra primeiro.
Procedimento de resposta e contenção
A remediação do CVE-2026-58644 segue a sequência recomendada pela Microsoft e pela CISA: aplicar a atualização de 14 de julho de 2026, habilitar o AMSI em cada aplicação web do SharePoint e monitorar detecções do Defender.
- Inventariar as instâncias SharePoint on-premises e registrar a build de cada servidor do farm.
- Aplicar a atualização de 14 de julho de 2026 e confirmar a instalação em todos os servidores.
- Habilitar a integração AMSI em cada aplicação web do SharePoint.
- Monitorar as detecções do Defender e do AMSI por artefatos de exploração.
- Ao detectar artefatos de exploração, acionar o playbook de resposta a incidentes, isolar o host, preservar evidências para perícia e investigar webshell e movimento lateral.
- Documentar a linha do tempo e atualizar regras de detecção.
O isolamento automatizado é decisivo diante da execução remota: a Microsoft informa que tentativas de exploração observadas foram bloqueadas pela assinatura de detecção, o que reforça manter o Defender e o AMSI ativos. Para contexto sobre a pressão de tempo no SOC, veja a análise da queda do breakout time para 29 minutos.
