Falha crítica no SharePoint é explorada após PoC público

Uma falha crítica de autenticação no Microsoft SharePoint passou a ser explorada por atacantes depois que a Rapid7 publicou um código de prova de conceito. Identificada como CVE 2026 55040 e com pontuação CVSS 9.1, a vulnerabilidade permite contornar mecanismos de autenticação em servidores SharePoint vulneráveis.

O problema está relacionado à validação de tokens JWT, usados pelo SharePoint para representar a identidade dos usuários. Um atacante remoto e não autenticado pode criar um token manipulado e fazer o servidor aceitar uma identidade escolhida pelo invasor.

Usuários e administradores podem ser impersonados

Para realizar o ataque, basta conhecer a identidade de um usuário do ambiente, como seu User Principal Name. Com um token JWT forjado, o invasor pode assumir a identidade de um usuário do site ou até de um administrador, dependendo da conta escolhida e das permissões associadas a ela.

Isso transforma uma vulnerabilidade de desvio de autenticação em um ponto de entrada com potencial para acesso a dados, alteração de conteúdo, execução de ações administrativas e preparação de ataques posteriores. O risco é maior em ambientes que mantêm o SharePoint exposto à internet.

A falha afeta o SharePoint Server 2016, o SharePoint Server 2019 e o SharePoint Server Subscription Edition. O problema está associado às versões locais do produto, e não ao SharePoint Online, segundo as informações divulgadas sobre os produtos afetados.

A publicação do PoC acelerou a exploração

A Rapid7 divulgou o código de prova de conceito após sua pesquisa sobre o mecanismo de autenticação do SharePoint. A ferramenta demonstra como gerar tokens JWT falsificados para representar usuários conhecidos no servidor.

Pouco tempo depois da publicação, pesquisadores observaram tentativas de exploração no mundo real. O caso reforça um padrão recorrente em segurança: quando um código funcional é disponibilizado publicamente para uma falha crítica, a janela entre a divulgação técnica e o início dos ataques pode ser muito curta.

A situação também mostra por que a classificação de severidade não deve ser analisada isoladamente. Uma falha com pontuação alta, acesso remoto sem autenticação e possibilidade de assumir identidades privilegiadas exige tratamento emergencial, principalmente quando já existe exploração observada.

O que as equipes devem fazer

Administradores devem aplicar as atualizações de segurança fornecidas pela Microsoft para as versões locais afetadas. Também é importante confirmar quais servidores SharePoint estão acessíveis externamente, identificar contas administrativas e revisar a exposição de interfaces que não precisam estar disponíveis na internet.

A investigação deve incluir registros de autenticação, requisições incomuns, criação ou uso de tokens fora do padrão e atividades realizadas por contas privilegiadas. Como o ataque pode permitir a representação de uma identidade legítima, a simples ausência de logins suspeitos não prova que o ambiente está seguro.

Contas administrativas devem usar o menor nível de privilégio possível, enquanto equipes de defesa precisam correlacionar eventos do SharePoint com logs de rede, proxy, identidade e sistemas integrados. Se houver sinais de exploração, é necessário preservar evidências, revogar sessões e credenciais potencialmente comprometidas e avaliar alterações feitas em sites, permissões e arquivos.

Como isso pode ser útil para você

No trabalho, use este caso para criar um procedimento de resposta a vulnerabilidades críticas com quatro etapas: inventário dos servidores, aplicação do patch, verificação de exposição externa e busca de indicadores nos logs. Em projetos pessoais, a mesma abordagem pode virar um checklist automatizado de conformidade para ambientes Microsoft. Para quem busca renda, há oportunidade em oferecer avaliações rápidas de exposição, revisão de permissões e monitoramento de vulnerabilidades em pequenas empresas que usam SharePoint local.

Fonte: https://thehackernews.com/2026/08/attackers-exploit-sharepoint.html?m=1