Quarta CVE do SharePoint (CVE-2026-50522) sob ataque: invasores roubam machine keys para acesso persistente

Uma quarta vulnerabilidade crítica no Microsoft SharePoint entrou na lista de bugs explorados ativamente em ataques nas últimas semanas. A CVE-2026-50522, uma RCE por desserialização de dados não confiáveis corrigida no Patch Tuesday de julho, está sendo abusada por atacantes para roubar machine keys do IIS e manter acesso persistente aos servidores comprometidos.

O que aconteceu

A Microsoft corrigiu a CVE-2026-50522 em 14 de julho como parte do Patch Tuesday. A falha é classificada como Remote Code Execution crítica, decorrente de desserialização insegura de dados não confiáveis. Segundo a Microsoft, “em um ataque baseado em rede, um atacante autenticado como pelo menos Site Owner pode escrever código arbitrário para injetar e executar código remotamente no SharePoint Server”.

A firma de threat intelligence Defused reportou em 17 de julho que seus honeypots começaram a ver tentativas de exploração contra o que inicialmente parecia ser uma zero-day no SharePoint. Em atualização de 20 de julho, a Defused confirmou que o alvo era, na verdade, a CVE-2026-50522 recém-corrigida — um caso clássico de “1-day” transformado em exploração massiva em menos de uma semana após o patch.

Este é o quarto bug do SharePoint com exploração ativa confirmada no último mês. Os outros três — CVE-2026-58644, CVE-2026-56164 e CVE-2026-45659 — compõem uma onda contínua que tem forçado equipes de infraestrutura ao redor do mundo a acelerarem drasticamente seus ciclos de patch em servidores SharePoint on-premises.

Como o ataque funciona

O padrão de exploração observado nos ataques da onda de julho é particularmente perigoso: os invasores usam a RCE inicial para extrair as machine keys do IIS (arquivos web.config e MachineKeys do ASP.NET) — os segredos criptográficos que assinam ViewState e cookies de autenticação. Uma vez de posse dessas chaves, o atacante consegue forjar payloads ViewState válidos e reobter acesso mesmo depois do patch, transformando um exploit de “single-shot” em uma persistência efetivamente permanente até que as chaves sejam rotacionadas.

“A CVE-2026-50522 está sendo explorada por atacantes para roubar machine keys e manter acesso de longo prazo.”

Análise da SecurityWeek sobre a onda de ataques

A Microsoft ainda não atualizou seu advisory oficial para confirmar a exploração ativa, prática que a empresa costuma retardar mesmo diante de evidências concretas. A CISA emitiu alerta recente sobre ataques contra SharePoint, e seu catálogo Known Exploited Vulnerabilities (KEV) já contém 13 falhas do produto — cinco delas adicionadas somente em 2026. A CVE-2026-50522 ainda não constava do KEV no momento da publicação, mas a inclusão é iminente.

Quem é afetado

• Organizações que operam SharePoint Server on-premises (SharePoint Subscription Edition, 2019 e 2016)
• Empresas em setores regulados (financeiro, saúde, governo) que ainda não migraram para SharePoint Online e mantêm ambientes híbridos
• Instalações onde as machine keys do IIS/ASP.NET nunca foram rotacionadas desde a instalação original — cenário majoritário na prática
• Ambientes onde múltiplos servidores SharePoint compartilham as mesmas machine keys em uma farm, ampliando o raio de comprometimento
• Times de infraestrutura sem programa formal de patch management que trate SharePoint com a mesma urgência de Windows Server ou Exchange

Análise

Quatro CVEs exploradas em um único mês configuram algo maior do que “má sorte”: o SharePoint on-premises virou o novo Exchange Server. É o mesmo padrão que vimos entre 2021 e 2023 com o Exchange (ProxyLogon, ProxyShell, ProxyNotShell) — uma base instalada gigante em organizações críticas, arquitetura complexa com múltiplos vetores de desserialização legados, e uma comunidade de atacantes especializada em explorar exatamente esse produto. A Microsoft trata SharePoint Online como prioridade absoluta, mas o on-prem continua sendo um alvo lucrativo justamente porque as organizações mais lentas para migrar são também as menos ágeis para aplicar patches.

O detalhe do roubo de machine keys eleva o nível de sofisticação da campanha. Não se trata de atores oportunistas rodando exploits públicos: quem está por trás dessa onda entende profundamente o modelo criptográfico do ASP.NET e o ecossistema ViewState. Isso é consistente com operadores de ransomware avançados (Storm-* clusters da Microsoft, grupos alinhados a China e Rússia, ou brokers de acesso inicial) — não com script kiddies. Organizações que aplicarem o patch achando que estão seguras, sem rotacionar as chaves, permanecerão comprometidas.

Vale conectar essa história a outras recentes: a exploração de vulnerabilidades do ServiceNow dias após divulgação, os zero-days da SonicWall usados por semanas antes do patch, e a saga WP2Shell no WordPress. O denominador comum é a compressão do tempo entre disclosure e exploração massiva. O que antes era um “ciclo de 30 dias para patch” virou um “ciclo de 72 horas” — e a maioria das organizações simplesmente não está estruturada para operar nessa velocidade. Este é o desafio central da defesa em 2026.

Recomendações práticas

• Aplique o Patch Tuesday de julho de 2026 imediatamente em todos os servidores SharePoint on-premises — priorize acima de qualquer outra atualização não crítica
• Rotacione as ASP.NET machine keys em todos os servidores da farm SharePoint, mesmo em ambientes que não tenham evidência de comprometimento — assuma exposição por padrão
• Após rotacionar as chaves, reinicie o serviço IIS e invalide todas as sessões ativas para forçar re-autenticação de usuários
• Faça hunting retroativo: procure por acesso anômalo a web.config, criação de novos application pools, w3wp.exe spawning cmd.exe/powershell.exe, e uploads suspeitos em /_layouts/
• Isole servidores SharePoint atrás de VPN ou reverse proxy autenticado — a superfície pública desses servidores é, hoje, um risco desproporcional
• Habilite logging avançado do SharePoint e do IIS, e envie para SIEM com regras específicas para detecção de ViewState anômalo e exploração de desserialização
• Reavalie o plano de migração para SharePoint Online: para muitas organizações, o custo de manter on-prem já é maior do que o custo de migrar
• Monitore o KEV da CISA diariamente e mantenha assinatura ativa dos feeds da Defused, Microsoft MSRC e SecurityWeek

Fonte: SecurityWeek