O seu SharePoint local está atualizado? A CISA acaba de ligar esta falha a ransomware

A agência norte-americana de cibersegurança CISA atualizou o seu catálogo de vulnerabilidades ativamente exploradas (KEV) para sinalizar que uma falha de execução remota de código no Microsoft SharePoint Server passou a ser usada em campanhas de ransomware. Em causa está a CVE-2026-45659, assinalada como abusada por grupos de ransomware numa atualização do catálogo KEV feita nesta terça-feira, sem que a Microsoft tenha ainda atualizado o aviso da CVE-2026-45659 para a marcar como explorada. A vulnerabilidade já constava do KEV desde 1 de julho e afeta apenas instalações on-premises do SharePoint — precisamente o tipo de servidor que muitas organizações portuguesas mantêm exposto à Internet para acesso remoto a documentos.

O que mudou no catálogo KEV

O KEV é o inventário oficial da CISA de vulnerabilidades com exploração confirmada em ambiente real e inclui um campo que indica se a falha é conhecida por ser usada em campanhas de ransomware. Foi esse campo que mudou. A leitura prática é direta: já não se trata apenas de acesso inicial por atores de espionagem ou corretores de acesso, mas de cadeias que terminam em cifra de ficheiros e extorsão.

O SharePoint on-premises tornou-se um dos alvos mais persistentes do ecossistema Microsoft. Desde novembro de 2021, a agência sinalizou 14 vulnerabilidades do Microsoft SharePoint ativamente exploradas, oito delas também exploradas em ataques de ransomware. O motivo é estrutural: o SharePoint está no centro da gestão documental empresarial e é habitualmente acessível pela Internet, o que o torna um alvo recorrente de corretores de acesso inicial e operadores de ransomware.

A falha em detalhe: uma desserialização com barreira baixa

A CVE-2026-45659 (CVSS 8.8) resulta de desserialização de dados não confiáveis (CWE-502) no Microsoft SharePoint Server on-premises e permite execução remota de código. Segundo a Microsoft, qualquer atacante autenticado pode desencadear a vulnerabilidade, sem necessidade de privilégios de administrador ou outros privilégios elevados: num ataque pela rede, basta um utilizador com permissões mínimas de Site Member para executar código remotamente no servidor. Esse é um limiar baixo, porque corresponde ao nível de acesso predefinido da maioria dos colaboradores em implementações empresariais de SharePoint.

A Microsoft avisou ainda que a exploração é de baixa complexidade, porque o atacante não precisa de conhecimento prévio significativo do sistema e consegue sucesso repetível com o mesmo payload contra o componente vulnerável. Curiosamente, o aviso da Microsoft classificava a falha como de exploração “menos provável” — uma previsão que a realidade contrariou em poucas semanas.

As versões afetadas são o SharePoint Server Subscription Edition, o SharePoint Server 2019 e o SharePoint Enterprise Server 2016; o SharePoint Online, integrado no Microsoft 365, não é afetado por esta falha on-premises. Há um detalhe administrativo que ajuda a explicar por que motivo tantos servidores continuaram vulneráveis: segundo a empresa de segurança CybelAngel, a Microsoft omitiu inadvertidamente a CVE-2026-45659 das notas de lançamento das atualizações de maio de 2026 e só corrigiu o aviso a 27 de maio, pelo que organizações que revisaram os patches de maio e não viram qualquer CVE de SharePoint podem ter despriorizado a atualização.

Cronologia do caso

Um ano de pressão contínua sobre o SharePoint

Esta CVE não vive isolada. A CISA alertou para a exploração ativa de múltiplas vulnerabilidades do SharePoint Server — incluindo CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 e CVE-2026-58644 — notando que afetam todas as versões on-premises suportadas (Subscription Edition, 2019 e 2016) e envolvem execução remota de código e atividades pós-exploração, como o roubo de chaves de máquina do IIS e técnicas de desserialização, para ganhar persistência e distribuir malware. Investigadores da VulnCheck resumiram o padrão: um fluxo regular de novas vulnerabilidades de SharePoint, com uma mistura de exploração de dia zero antes da divulgação e exploração de n-days de cauda longa.

O precedente mais conhecido é o de 2025. A cadeia publicamente reportada como “ToolShell” permitia acesso não autenticado a sistemas e execução de código pela rede, e a CISA observou atores a cifrar ficheiros e a distribuir o ransomware Warlock em sistemas comprometidos. A Microsoft associou essa atividade ao Storm-2603, grupo que avalia com confiança moderada como baseado na China. É este historial que torna a nova marcação do KEV tão relevante para quem gere servidores SharePoint.

O que fazer agora: aplicar o patch não é o fim

A orientação das autoridades é consistente e vai além da atualização. Os passos recomendados incluem:

• Aplicar as atualizações de segurança mais recentes do SharePoint e verificar que ficaram efetivamente instaladas em toda a farm.
• Confirmar que a interface AMSI (Antimalware Scan Interface) da Microsoft está ativada para cada aplicação web do SharePoint, com scanning do corpo do pedido onde for suportado.
• Rodar as chaves de máquina do IIS, mas verificando primeiro a existência de artefactos de intrusão, incluindo ferramentas de recolha de chaves de máquina — a ordem importa, sob pena de rodar segredos com o atacante ainda presente.
• Revisitar a telemetria à procura de pedidos anómalos, atividade suspeita do processo de trabalho do SharePoint, webshells e acessos a chaves de máquina.
• Evitar a exposição direta dos servidores SharePoint à Internet e restringir o acesso externo à Administração Central do SharePoint.
• Auditar permissões: como o ataque exige apenas uma conta de Site Member, contas comprometidas por phishing ou infostealers tornam-se plataformas de lançamento.

Não é só o SharePoint: o caso do Defender

A atualização do KEV desta semana surge depois de um movimento semelhante noutro produto Microsoft. Em junho, a CISA confirmou que grupos de ransomware exploram uma vulnerabilidade de elevação de privilégios de gravidade elevada no Microsoft Defender (apelidada de “BlueHammer”), também visada como dia zero para acesso à base de dados SAM, que contém hashes de palavras-passe de contas locais; a falha, identificada como CVE-2026-33825, foi divulgada no início de abril por um investigador conhecido como “Nightmare Eclipse”, com código de prova de conceito, e a Microsoft ainda não confirmou exploração ativa. O padrão repete-se: sinalização de exploração pela CISA antes da confirmação do fabricante.

Porque é que isto importa em Portugal

Os prazos da CISA obrigam apenas agências federais norte-americanas — a diretiva BOD 26-04 assenta em quatro variáveis (exposição pública do ativo, presença no KEV, possibilidade de automatizar o exploit e impacto técnico pós-exploração) e exige ação em três dias nas combinações de maior risco. Ainda assim, o KEV funciona como sinal de priorização universal, e o CNCS acompanha o tema: o Centro Nacional de Cibersegurança emitiu vários alertas de vulnerabilidade sobre Microsoft SharePoint Server em julho de 2026, nomeadamente a 14, 15 e 17 de julho, incluindo um relativo a uma falha de contorno de autenticação por deficiências na validação de tokens JWT (CVE-2026-55040), corrigida nas atualizações de julho de 2026 e que não afeta o SharePoint Online.

Para entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de vulnerabilidades e o tratamento de incidentes são obrigações concretas, com deveres de notificação ao CNCS/CERT.PT em caso de incidente significativo. Um servidor SharePoint comprometido raramente é um problema isolado: costuma dar acesso a documentação interna, contratos, dados de recursos humanos e credenciais — o que faz entrar em cena o RGPD e a eventual notificação à CNPD por violação de dados pessoais. Para PME que ainda dependem de SharePoint on-premises herdado, a decisão de fundo é dupla: reduzir a exposição direta à Internet e planear a migração ou o isolamento das versões mais antigas.

Perguntas frequentes

O SharePoint Online do Microsoft 365 está afetado?

Não. O SharePoint Online, parte do Microsoft 365, não é afetado por esta falha on-premises. O risco concentra-se nos servidores auto-alojados: Subscription Edition, 2019 e Enterprise Server 2016.

Já apliquei o patch de maio. Estou seguro?

O patch impede nova exploração, mas não expulsa quem já entrou. A CISA aconselha seguir as orientações de resposta a incidentes da Microsoft, procurar indicadores de compromisso e rodar as chaves de máquina do SharePoint quando apropriado, reconhecendo que a atualização pode não remover a persistência do atacante em servidores já comprometidos.

Quem está por trás da exploração?

Não há atribuição pública firme para esta CVE. Quando foi adicionada ao KEV, não era conhecido como estava a ser explorada, quem estava por trás da atividade nem quais os objetivos finais. A nova marcação do KEV indica utilização em campanhas de ransomware, sem nomear grupos.

O prazo de três dias da CISA aplica-se a empresas portuguesas?

Não juridicamente. O mandato de correção associado ao KEV é vinculativo apenas para agências federais civis norte-americanas; administrações locais, empresas privadas e operadores de infraestruturas críticas não estão legalmente obrigados a cumprir esses prazos. Em Portugal, as obrigações resultam do Regime Jurídico da Cibersegurança, mas o KEV continua a ser um excelente critério técnico de priorização.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela CISA, pela Microsoft, pelo CNCS/CERT.PT e por investigadores de segurança.