Uma vulnerabilidade crítica no Microsoft SharePoint Server está a ser ativamente explorada por atacantes que vão além do simples comprometimento inicial: depois de executarem código remotamente sem qualquer autenticação, roubam as machine keys do servidor IIS para garantir acesso persistente — mesmo depois de a falha ser corrigida. Identificada como CVE-2026-50522, trata-se de uma falha de desserialização de dados não fidedignos (CWE-502) no Microsoft SharePoint Server, que permite a um atacante não autenticado enviar payloads serializados maliciosos pela rede, desencadeando a execução de código arbitrário. A vulnerabilidade obteve uma pontuação CVSS 3.1 de 9.8 (Crítica), publicada pelo Microsoft Security Response Center (MSRC) a 14 de julho de 2026.
Em resumo: a CVE-2026-50522 é uma falha crítica (CVSS 9,8) de desserialização no Microsoft SharePoint Server que permite a um atacante não autenticado executar código remotamente. Foi corrigida no Patch Tuesday de 14 de julho de 2026 e, embora não fosse um dia zero, passou a ser ativamente explorada assim que uma prova de conceito se tornou pública, a 20 de julho. O que a torna especialmente perigosa é o roubo das machine keys do servidor: com essas chaves, os atacantes mantêm acesso mesmo depois de o servidor ser corrigido. Por isso, a orientação dos especialistas é clara — aplicar o patch não chega: é preciso também rodar as machine keys. Afeta o SharePoint Server 2016, 2019 e Subscription Edition on-premises.
O que é a CVE-2026-50522 e por que é tão perigosa
A falha decorre de desserialização insegura de dados não fidedignos, o que permite a atacantes remotos não autenticados executar código arbitrário pela rede, sem necessidade de autenticação nem interação do utilizador, atingindo uma pontuação máxima prática de 9.8 no CVSS v3.1. As versões afetadas são o SharePoint Server Subscription Edition, o SharePoint Server 2019 e o SharePoint Enterprise Server 2016. É importante sublinhar que estas vulnerabilidades afetam apenas os servidores SharePoint instalados localmente (on-premises) e não afetam o SharePoint Online no Microsoft 365.
Detalhada no Guia de Atualizações de Segurança da Microsoft, a vulnerabilidade decorre da desserialização de dados não fidedignos no pipeline de processamento do Microsoft Office SharePoint. O vetor de ataque descrito pela Microsoft envolve um ataque via rede, de baixa complexidade, que não requer privilégios nem interação do utilizador, com impacto potencialmente elevado na confidencialidade, integridade e disponibilidade.
O roubo das machine keys: persistência além do patch
O aspeto mais preocupante desta campanha não é apenas a execução remota de código, mas o que acontece depois. Os investigadores salientam que os atacantes estão a roubar as machine keys, o que lhes permite manter acesso de longo prazo nos sistemas comprometidos. Um atacante que obtenha essas chaves pode criar tokens de autenticação válidos para se fazer passar por utilizadores e aceder a recursos disponíveis — como sites e documentos SharePoint — com os privilégios da identidade forjada.
Nos ataques observados, os atacantes implementaram um ficheiro ASPX malicioso de segunda fase, concebido para extrair as chaves criptográficas (MachineKey) do ficheiro web.config — chaves que o servidor confia —, permitindo uma exploração subsequente mais furtiva. Os payloads parecem legítimos para a aplicação, passando a validação de assinatura sem levantar alertas; o código malicioso é executado dentro do processo normal do SharePoint (w3wp.exe), misturando-se com a atividade legítima.
Com as chaves roubadas, o atacante forja um token __VIEWSTATE malicioso e assinado, utilizando ferramentas como ysoserial.net. Este payload incorpora comandos de sistema — por exemplo, PowerShell — e é enviado para outra página do SharePoint. Como o token está assinado com as chaves reais do servidor, o SharePoint aceita-o e desserializa-o durante o processamento da página, levando à execução do comando incorporado.
A CISA nota que as chaves roubadas podem ser usadas para forjar pedidos que permitam nova exploração do servidor, e que a rotação das chaves por si só não constitui uma medida de remediação completa — sem que primeiro sejam removidos quaisquer artefactos de recolha de chaves.
Prova de conceito pública e exploração imediata
Vale a pena notar a origem da falha: foi descoberta pelo investigador “splitline”, da equipa taiwanesa DEVCORE, e demonstrada ao vivo no concurso Pwn2Own Berlin — o que significa que um exploit funcional foi entregue à Microsoft ainda antes da correção. Apesar disso, o aviso da Microsoft classificou a probabilidade de exploração apenas como “maior”, e a empresa afirmou não ter conhecimento de exploração antes da publicação. O cenário mudou a 20 de julho: poucas horas depois de surgir uma prova de conceito pública, a empresa de segurança watchTowr detetou, na sua rede global de honeypots, tentativas de exploração bem-sucedidas.
Está disponível no GitHub pelo menos um exploit demonstrativo em PowerShell para a CVE-2026-50522, da autoria do investigador Janggggg. O PoC tenta desencadear a execução remota de código entregando um payload malicioso .NET BinaryFormatter como cookie de um token SecurityContextToken forjado, publicado no endpoint /_trust/default.aspx do SharePoint. Se o token for processado por um caminho de desserialização vulnerável, o payload resulta em execução de código arbitrário.
A empresa de segurança ofensiva watchTowr observou que os atacantes começaram a explorar a CVE-2026-50522 contra implementações SharePoint on-premises vulneráveis imediatamente após a publicação de um exploit de prova de conceito válido — sendo que o investigador Janggggg publicou o PoC no mesmo dia em que a watchTowr começou a detetar os ataques. Permanece incerto se os incidentes observados fizeram uso do exploit disponível publicamente.
A empresa Defused Cyber também divulgou que atores de ameaça estarão a explorar a CVE-2026-50522 para entregar um payload de desserialização .NET a um endpoint de autenticação do SharePoint, observando que os pedidos capturados não transportam qualquer material de autenticação, correspondendo ao perfil não autenticado da falha.
Contexto mais amplo: SharePoint sob ataque continuado em 2025 e 2026
Esta é já a terceira vulnerabilidade de SharePoint sob exploração ativa em 2026. As outras duas — a CVE-2026-56164 e a CVE-2026-58644 — foram corrigidas no mesmo ciclo e já as analisámos em detalhe no balanço do Patch Tuesday de julho de 2026. O SharePoint tem sido, aliás, um alvo recorrente: mostrámo-lo também quando o grupo Helix combinou vishing e abuso de MFA para roubar dados em ambientes SharePoint.
A CVE-2026-50522 não surge no vazio. Estas vulnerabilidades afetam todas as versões suportadas do SharePoint Server on-premises (Subscription Edition, 2019 e 2016) e envolvem o estabelecimento de execução remota de código e atividades de pós-exploração, como o roubo de machine keys IIS e a realização de técnicas de desserialização para ganhar persistência e implementar malware.
A CVE-2026-50522 é a terceira vulnerabilidade no SharePoint Server a registar esforços de exploração ativa, depois da CVE-2026-56164 (pontuação CVSS: 5.3) e da CVE-2026-58644 (pontuação CVSS: 9.8), sendo que estas duas últimas foram utilizadas como zero-days antes de serem corrigidas em julho de 2026. A CISA adicionou as seguintes vulnerabilidades ao catálogo KEV: CVE-2026-32201 a 14 de abril de 2026; CVE-2026-45659 a 1 de julho de 2026; CVE-2026-56164 a 14 de julho de 2026; e CVE-2026-58644 a 16 de julho de 2026.
Um servidor SharePoint comprometido representa um risco significativo para as organizações, uma vez que pode servir de porta de entrada para outros serviços Microsoft integrados. De acordo com dados da Akamai, mais de 20% dos ambientes observados estão expostos à vulnerabilidade SharePoint.
O que as organizações devem fazer agora
A resposta a este incidente exige uma abordagem em várias camadas e não se resume a instalar o patch. As medidas recomendadas pelas entidades competentes são:
- Aplicar imediatamente as atualizações de segurança de julho de 2026 da Microsoft para todas as versões SharePoint on-premises afetadas. A Microsoft lançou novas atualizações de segurança abrangentes para todas as versões suportadas do SharePoint Server (Subscription Edition, 2019 e 2016) e os clientes devem aplicá-las imediatamente.
- Rodar as machine keys ASP.NET antes e depois do patch. A CISA recomenda rodar as machine keys ASP.NET, depois de aplicada a atualização de segurança da Microsoft, rodar novamente as chaves e reiniciar o servidor web IIS.
- Inspecionar manualmente os sistemas. É fundamental que as organizações inspecionem e investiguem manualmente os sistemas e ficheiros específicos em busca de sinais de exploração. Os payloads de malware implementados via ficheiros .dll são particularmente difíceis de detetar e podem ser utilizados para obter machine keys.
- Ativar o AMSI no SharePoint. O AMSI bloqueia a execução de payloads quando o Defender AV está instalado; o Modo Completo é recomendado.
- Rever as credenciais de todos os ativos potencialmente expostos. A watchTowr aconselha os defensores a rodar também as credenciais de qualquer ativo que possa ter estado exposto.
Relevância para o contexto europeu e português
Para as organizações portuguesas e europeias, esta situação tem implicações diretas ao abrigo do quadro regulatório vigente. O Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para o ordenamento jurídico português, impõe às entidades essenciais e importantes obrigações de gestão do risco de cibersegurança — incluindo a aplicação atempada de atualizações de segurança e a implementação de medidas de deteção e resposta a incidentes. Uma exploração bem-sucedida da CVE-2026-50522 num servidor SharePoint on-premises não afeta apenas a plataforma de colaboração: permite o compromisso total da infraestrutura de colaboração, roubo de credenciais e movimentos laterais para ambientes Microsoft 365 e Active Directory ligados. Organizações que processem dados pessoais através do SharePoint devem igualmente considerar as obrigações de notificação de violações de dados previstas no RGPD (Regulamento Geral de Proteção de Dados), nomeadamente o dever de comunicação à CNPD no prazo de 72 horas após tomar conhecimento de uma violação com impacto nos direitos dos titulares dos dados. O CNCS (Centro Nacional de Cibersegurança) disponibiliza orientações e alertas que as entidades nacionais devem acompanhar regularmente em cncs.gov.pt.
Perguntas frequentes
O que é a CVE-2026-50522?
É uma vulnerabilidade crítica (CVSS 9,8) de desserialização de dados não fidedignos no Microsoft SharePoint Server. Permite a um atacante não autenticado, através da rede e sem interação do utilizador, executar código no servidor. Afeta as edições on-premises SharePoint Server 2016, 2019 e Subscription Edition.
Porque é que aplicar o patch pode não ser suficiente?
Porque os atacantes exploram a falha para roubar as machine keys do servidor. Com essas chaves criptográficas, conseguem forjar tokens de autenticação válidos e manter acesso ao sistema mesmo depois de a vulnerabilidade ser corrigida. Por isso, além de aplicar a atualização, é essencial rodar as machine keys e outras credenciais potencialmente expostas.
Esta falha está a ser explorada?
A Microsoft não tinha conhecimento de exploração quando publicou a correção, a 14 de julho de 2026. No entanto, a 20 de julho, depois de surgir uma prova de conceito pública, a empresa de segurança watchTowr detetou tentativas de exploração ativas e bem-sucedidas contra servidores SharePoint on-premises.
O que devem fazer as organizações?
Aplicar imediatamente as atualizações de segurança de julho de 2026, rodar as machine keys do SharePoint, ativar a integração AMSI e o Microsoft Defender nos servidores, e monitorizar sinais de comprometimento. Servidores SharePoint acessíveis pela internet devem ser tratados como prioridade de emergência.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Microsoft Security Response Center (MSRC), pela CISA, pela Akamai, pela Palo Alto Networks Unit 42, pela SentinelOne e pela Tenable.