A Microsoft corrigiu no Patch Tuesday de julho de 2026 uma falha crítica de bypass de autenticação no SharePoint Server. Um mês depois, com exploração pública disponível, ela se tornou uma das vulnerabilidades mais atacadas do semestre.

O que a falha permite

A CVE-2026-55040 recebeu CVSS 9.1 e nasce de uma cadeia de quatro fraquezas na validação de tokens JWT. Um atacante remoto e não autenticado consegue forjar um token válido e assumir a identidade de qualquer usuário do site — inclusive de um administrador. O único pré-requisito é saber de antemão qual usuário quer personificar.

Segundo o aviso da Microsoft, a exploração bem-sucedida permite divulgação de arquivos e modificação de dados em toda a fazenda SharePoint. Encadeada com a CVE-2026-63520, a falha abre caminho para execução remota de código sem qualquer autenticação.

Por que virou urgência

Em 11 de agosto de 2026 a Rapid7 publicou a análise técnica e um script de prova de conceito. Ataques contra servidores sem correção começaram em questão de horas. Em 18 de agosto a CISA incluiu a falha no catálogo KEV — o que, na prática, significa exploração confirmada em ambientes reais.

Estão afetados o SharePoint Enterprise Server 2016, o SharePoint Server 2019 e o Subscription Edition.

O que fazer agora

• Aplicar o pacote cumulativo de julho de 2026 em todos os servidores SharePoint.

• Levantar quais instâncias estão acessíveis pela internet e retirar da borda o que não precisa estar exposto.

• Rotacionar chaves de máquina e credenciais de serviço depois da correção — o patch fecha a porta, mas não invalida tokens já forjados.

• Caçar sinais de personificação: autenticações sem evento de logon correspondente, acesso administrativo fora do horário, coleta em massa de bibliotecas de documentos.

• Revisar contas com privilégio elevado criadas ou alteradas desde julho.