Ataques ativos exploram vulnerabilidades no Microsoft SharePoint Server para obter execução remota de código (RCE), instalar web shells persistentes e roubar chaves criptográficas de sistemas expostos. A campanha, identificada por pesquisadores da Resecurity, coloca implantações on-premises do SharePoint em risco de roubo de dados, comprometimento de rede, ransomware e acesso não autorizado prolongado.
O que mudou agora
As falhas afetam o SharePoint Server Subscription Edition, SharePoint Server 2019 e SharePoint Server 2016. Os atacantes podem encadear falhas de bypass de autenticação, processamento inseguro de dados e falhas de validação de entrada para transformar um servidor de colaboração exposto à internet em um ponto de entrada para a rede corporativa mais ampla. As vulnerabilidades ativamente exploradas incluem CVE-2026-32201, CVE-2026-45659 e CVE-2026-56164, que foram adicionadas ao catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA.
Impacto e alcance
Após obter a execução de código, os atacantes podem colocar um web shell no servidor SharePoint e usá-lo para executar comandos, fazer upload de arquivos ou manter o acesso. Um passo particularmente grave é o roubo dos valores de ASP.NET machineKey armazenados nos arquivos de configuração do SharePoint. Essas chaves são usadas para proteger dados do aplicativo, e seu roubo pode permitir que um atacante crie dados de ViewState ou material de autenticação com aparência confiável, ajudando-os a preservar o acesso mesmo após a remoção de um web shell.
O relatório também alerta que os atacantes podem adicionar módulos IIS maliciosos que são carregados com os processos de trabalho e sobrevivem a reinicializações. Uma vez dentro de uma fazenda SharePoint, a conta de serviço comprometida pode ser usada para acessar bancos de dados, encontrar credenciais adicionais e mover-se em direção a recursos de domínio ou outros sistemas internos.
Medidas de mitigação recomendadas
As organizações devem aplicar imediatamente as atualizações de segurança do Microsoft SharePoint de julho de 2026 em todos os servidores da fazenda e confirmar que as versões atualizadas foram instaladas. O relatório também recomenda tratar servidores SharePoint expostos à internet não corrigidos como sistemas de alta prioridade para resposta a incidentes e caça a ameaças.
Administradores devem habilitar a integração AMSI para cada aplicativo web e usar o modo Full Request Body Scan onde for prático. Restringir a exposição direta à internet, colocar serviços externos atrás de uma camada de inspeção autenticada, limitar a comunicação com bancos de dados e bloquear o acesso à Administração Central pode reduzir a chance de que um servidor comprometido se torne uma violação maior.
O que os CISOs devem fazer imediatamente
Defensores devem revisar os logs do IIS, Windows Event e SharePoint ULS em busca de solicitações incomuns, novos arquivos inesperados, lançamentos de processos suspeitos a partir de processos de trabalho do IIS e alterações nos módulos IIS ou configurações de chave de máquina. Se houver suspeita de comprometimento, as equipes devem isolar os servidores afetados, remover mecanismos de persistência, investigar todos os membros da fazenda e redefinir as credenciais relevantes da conta de serviço.
As chaves de máquina IIS devem ser rotacionadas apenas após os respondedores terem certeza de que o ambiente está limpo, pois rotacioná-las muito cedo pode permitir que um intruso mantenha outras formas de acesso.
Indicadores de comprometimento (IoCs)
- Nome do arquivo web shell:
spinstall0.aspx(usado para extrair material machineKey doweb.config) - Endpoint suspeito:
/_layouts/15/ToolPane.aspxe/_layouts/16/ToolPane.aspx(solicitações POST com modo de exibição de edição) - Caminho de referenciador falsificado:
/_layouts/SignOut.aspx - Processo:
w3wp.exe(IIS worker process; suspeito ao gerar shells de comando, PowerShell ou compiladores) - Processo:
cmd.exe(processo filho dow3wp.exe) - Processo:
powershell.exe(processo filho dow3wp.exe) - Processo:
csc.exe(processo filho dow3wp.exe) - Artefato de persistência:
FarmAuthNative.dll(módulo IIS nativo não autorizado) - Nome do cookie:
FarmAuth - Endpoint de manipulador:
AssetHandler.axd
Perguntas frequentes
As vulnerabilidades afetam o SharePoint Online? O relatório foca em implantações on-premises e Subscription Edition. O SharePoint Online geralmente recebe patches automáticos, mas a arquitetura de fazenda on-premises é o alvo primário.
Como saber se fui comprometido? Monitore logs de acesso web por solicitações incomuns para endpoints como ToolPane.aspx e verifique a existência de arquivos web shell não autorizados, especialmente spinstall0.aspx.
Devo rotacionar as chaves IIS imediatamente? Não. Rotacionar antes de limpar o ambiente pode permitir que o intruso mantenha acesso por outras vias. Espere até confirmar que a persistência foi removida.