CNCS alerta para exploração ativa de múltiplas falhas críticas no Microsoft SharePoint

O Centro Nacional de Cibersegurança (CNCS) emitiu cinco alertas de segurança relativos a vulnerabilidades críticas que afetam infraestruturas Microsoft, destacando quatro falhas no Microsoft SharePoint Server e uma no Active Directory Federation Services (AD FS). Em comum, os alertas reforçam a necessidade de aplicação imediata das atualizações de segurança disponibilizadas pela Microsoft, uma vez que várias das vulnerabilidades já estão a ser exploradas ativamente.

O alerta com maior grau de severidade refere-se à vulnerabilidade CVE-2026-45659, classificada com CVSS 8.8, que permite a execução remota de código (RCE) em servidores SharePoint on-premises. Segundo o CNCS, um atacante autenticado apenas com permissões de Site Member pode explorar a falha para executar código arbitrário, sem necessidade de privilégios de administrador nem de interação do utilizador.

O organismo recomenda a instalação imediata das atualizações de segurança de maio de 2026, bem como a limitação da exposição dos servidores à Internet, o reforço da autenticação multifator e a realização de avaliações de comprometimento nos sistemas que permaneceram sem atualização.

Julho traz novas vulnerabilidades críticas

A atualização de segurança de julho de 2026 corrige igualmente três novas vulnerabilidades no SharePoint Server.

Uma delas, CVE-2026-56164, permite a um atacante não autenticado obter acesso indevido ao SharePoint através da exploração de uma falha de autenticação no endpoint ToolPane.aspx. O CNCS alerta que esta vulnerabilidade está a ser explorada em conjunto com falhas de execução remota de código para comprometer totalmente os servidores, incluindo a instalação de malware e o roubo de chaves do IIS para garantir persistência.

Outra vulnerabilidade, CVE-2026-55040, resulta de deficiências na validação de tokens JWT e permite contornar os mecanismos de autenticação, possibilitando que um atacante assuma a identidade de qualquer utilizador do SharePoint, incluindo administradores, desde que conheça previamente a identidade da vítima.

O CNCS chama ainda a atenção para duas vulnerabilidades adicionais de desserialização insegura, CVE-2026-50522 e CVE-2026-58644, que também permitem execução remota de código sem necessidade de autenticação. Segundo o organismo, estas falhas podem ser utilizadas para comprometer totalmente os servidores, exfiltrar informação, estabelecer mecanismos de persistência e facilitar movimentos laterais na infraestrutura, tendo em conta a integração habitual do SharePoint com serviços como Active Directory e SQL Server.

Além do SharePoint, o CNCS alertou para a vulnerabilidade CVE-2026-56155, que afeta o Active Directory Federation Services (AD FS) em várias versões do Windows Server.

A falha permite que um utilizador autenticado com privilégios reduzidos eleve os seus privilégios até administrador do servidor AD FS, podendo alterar configurações de federação, aceder a material de autenticação sensível e comprometer serviços críticos de identidade.

Para mitigar o risco, o CNCS recomenda não só a aplicação das atualizações de julho de 2026, mas também a revisão das listas de controlo de acesso (ACL) do Distributed Key Manager (DKM), conforme indicado pela Microsoft.

Organizações devem rever exposição dos sistemas

Em todos os alertas, o CNCS aconselha as organizações a restringirem a exposição direta dos servidores SharePoint à Internet, ativarem mecanismos adicionais de proteção como o Antimalware Scan Interface (AMSI), analisarem logs em busca de atividade suspeita e realizarem avaliações de comprometimento sempre que existam indícios de exploração.

O organismo lembra ainda que o SharePoint Online, incluído no Microsoft 365, não é afetado por estas vulnerabilidades. Já o SharePoint Server 2016 e 2019 atingiram o fim do suporte estendido em julho de 2026, o que significa que algumas correções futuras poderão deixar de estar disponíveis para estas versões.