Atacantes começaram a testar uma cadeia de duas vulnerabilidades no Microsoft SharePoint que pode lhes dar a capacidade de executar código remotamente em servidores desprotegidos, segundo a empresa de inteligência contra ameaças Defused. Isso ocorre após a publicação de provas de conceito (PoC) para as duas vulnerabilidades, o que reduziu o nível técnico necessário para tentativas de exploração.
Como a cadeia funciona?
A primeira vulnerabilidade, CVE-2026-55040, é uma falha de bypass de autenticação no fluxo de validação de tokens JWT do SharePoint. Um atacante sem privilégios pode explorá-la para executar operações como usuário ou administrador em um site do SharePoint.
A segunda vulnerabilidade, CVE-2026-63520, está presente no serviço Business Connectivity Services (BCS). Depois de explorar com êxito a vulnerabilidade de bypass de autenticação, o atacante pode usar a segunda vulnerabilidade para executar código remotamente no servidor SharePoint alvo.
O pesquisador de segurança Stephen Fewer, da Rapid7, publicou a prova de conceito da primeira parte da cadeia em 11 de agosto, enquanto o pesquisador Jonathan Peterson, da VulnCheck, publicou o código da segunda vulnerabilidade em 24 de agosto. Um dia após a publicação da PoC da CVE-2026-55040, a Defused afirmou que o código já havia sido usado em ataques.
O que foi detectado até agora?
Em 25 de agosto, a Defused informou que detectou em seus honeypots tentativas que combinavam as duas vulnerabilidades. Os indicadores incluíam o uso do bypass de JWT, seguido por operações intensivas para descobrir contas de administradores e examinar o Business Data Catalog associado à segunda vulnerabilidade. No entanto, a empresa afirmou que não havia detectado a execução de código até o momento da publicação de seu alerta.
A organização sem fins lucrativos de segurança da internet Shadowserver monitora mais de 8.700 servidores Microsoft SharePoint expostos na rede. Os dados disponíveis não esclarecem quantos desses sistemas são honeypots nem quantos servidores já foram protegidos.
Alertas das autoridades de segurança
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) ordenou, em 18 de agosto, que as agências federais e os defensores de redes protegessem os servidores SharePoint contra os ataques em andamento que exploram a CVE-2026-55040. Em 15 de julho, a agência também alertou sobre a exploração de três outras vulnerabilidades — CVE-2026-32201, CVE-2026-45659 e CVE-2026-56164 — contra servidores SharePoint Server locais expostos na internet.
A CISA também confirmou que a vulnerabilidade de execução remota de código CVE-2026-45659, conhecida desde o início de julho como sendo explorada ativamente, agora está sendo usada em ataques associados a ransomware. Desde novembro de 2021, a agência incluiu 15 vulnerabilidades do Microsoft SharePoint exploradas ativamente, oito das quais também foram associadas a grupos de ransomware.
Por que esta notícia é importante?
A importância do acontecimento está no fato de que a cadeia não depende apenas de uma vulnerabilidade isolada de execução remota, mas começa com um bypass de autenticação e depois passa para um componente que fornece o caminho para a execução. Na prática, isso significa que os administradores de servidores expostos precisam lidar com as duas vulnerabilidades em conjunto e revisar tentativas de login, a descoberta de contas de administradores e a atividade do Business Data Catalog.
A CISA recomenda que as equipes de segurança consultem as orientações oficiais da Microsoft para reforçar a segurança do SharePoint e evitem expor diretamente os servidores SharePoint à internet, a menos que isso seja necessário. Ainda há pontos sem resposta: a Microsoft classificou a CVE-2026-63520 como um alvo atraente para atacantes, mas ainda não a classificou como explorada ativamente; além disso, a Defused ainda não detectou a execução de comandos em seus honeypots.