Microsoft corrige zero-day no SharePoint

A Microsoft lançou as atualizações de segurança de abril de 2026, corrigindo um total de 165 vulnerabilidades, incluindo uma falha zero-day no SharePoint Server que estava a ser explorada ativamente.

A vulnerabilidade, identificada como CVE-2026-32201, foi classificada como um problema de spoofing com severidade “importante” e pontuação CVSS de 6,5. Segundo a Microsoft, resulta de validação inadequada de inputs, podendo permitir a um atacante não autenticado aceder e alterar informação sensível através da rede.

Até ao momento, não são conhecidos os responsáveis pelos ataques nem os seus objetivos. Os especialistas admitem que a falha possa estar a ser explorada em cadeia com outras vulnerabilidades, uma prática comum em campanhas direcionadas.

A CVE-2026-32201 já foi adicionada ao catálogo Known Exploited Vulnerabilities (KEV) da CISA, tendo sido definido o prazo de 28 de abril para aplicação das correções por parte de agências federais norte-americanas.

As vulnerabilidades no SharePoint têm sido frequentemente exploradas em ataques reais, com pelo menos dez falhas desta plataforma já incluídas no catálogo KEV.

Para além do zero-day, a Microsoft corrigiu outras vulnerabilidades com potencial elevado de exploração. Um total de 19 falhas foi classificado com probabilidade elevada de exploração futura, incluindo a CVE-2026-33825, uma vulnerabilidade de escalada de privilégios no Microsoft Defender que já tinha sido divulgada publicamente.

Os problemas abrangem vários componentes do ecossistema Windows, incluindo Boot Loader, Active Directory, Remote Desktop, BitLocker, TCP/IP e Desktop Window Manager, entre outros.

Este Patch Tuesday é o segundo maior de sempre em número de vulnerabilidades corrigidas, ficando apenas abaixo do registado em outubro de 2025. O volume de correções e a presença de falhas já exploradas reforçam a necessidade de aplicação rápida dos patches, especialmente em ambientes empresariais com infraestruturas críticas expostas.