Uma falha crítica no Microsoft SharePoint, identificada como CVE-2026-55040, coloca administradores de servidores corporativos em estado de alerta após a divulgação pública de uma prova de conceito (PoC) capaz de explorar uma deficiência na validação de tokens de autenticação. O problema recebeu pontuação CVSS 9,1, indicando um nível de severidade que exige resposta rápida por parte das organizações afetadas.
O problema está relacionado ao processamento de tokens JWT (JSON Web Token) utilizados pelo SharePoint. A exploração permite contornar determinadas verificações de autenticação e fazer com que o servidor aceite uma identidade controlada pelo atacante. Em um ambiente com permissões elevadas, isso pode abrir caminho para ações administrativas e para o comprometimento de dados corporativos.
A situação ganhou ainda mais relevância após a publicação da pesquisa da Rapid7, que demonstrou tecnicamente como a falha poderia ser utilizada em uma cadeia de exploração. Para empresas que mantêm SharePoint Server exposto à internet, o momento para verificar os patches e a superfície de ataque não é depois de um incidente, mas agora.
O que é a CVE-2026-55040 no Microsoft SharePoint?
A CVE-2026-55040 é uma vulnerabilidade de autenticação que afeta versões locais do Microsoft SharePoint. O problema está associado à forma como o servidor processa e valida determinados tokens utilizados no mecanismo de autenticação.
De acordo com as informações técnicas divulgadas, a falha permite que um invasor remoto, sem autenticação prévia, manipule características de um JWT para contornar controles que deveriam garantir que somente tokens legítimos fossem aceitos pelo servidor.
O risco é particularmente alto porque o ataque não depende necessariamente do roubo de uma senha. Em vez disso, o invasor tenta explorar uma falha na própria lógica responsável por determinar se uma credencial apresentada ao SharePoint é confiável.
A classificação CVSS 9,1 reflete justamente a combinação de fatores perigosos: exploração remota, ausência de necessidade de privilégios prévios e possibilidade de impacto significativo sobre a confidencialidade e a integridade do ambiente.
É importante, porém, diferenciar privilégios administrativos no SharePoint de privilégios de administrador de domínio. Conseguir representar uma identidade privilegiada dentro da plataforma não significa automaticamente assumir o controle de todo o Active Directory. O impacto real dependerá da configuração do ambiente e das permissões associadas à identidade falsificada.
Como funciona o bypass de autenticação
O componente mais preocupante da CVE-2026-55040 está na validação dos tokens Bearer utilizados pelo SharePoint.
Um JWT normalmente contém informações sobre o emissor, o destinatário, o período de validade e a assinatura criptográfica. O servidor deve verificar esses elementos antes de considerar o token confiável.
A pesquisa da Rapid7 identificou uma combinação de falhas nessa lógica que pode ser resumida em quatro etapas.
Primeiro, o atacante pode manipular o campo que indica o algoritmo utilizado pelo JWT. Entre os elementos analisados está o comportamento relacionado ao alg: none, que representa um token sem assinatura criptográfica convencional.
Segundo, a exploração envolve a manipulação do cabeçalho x5t, utilizado para identificar um certificado associado à validação criptográfica. A maneira como essa informação é processada pode permitir que dados fornecidos pelo próprio atacante influenciem a seleção utilizada durante a validação.
Terceiro, entra em cena a questão da confiança no serviço responsável pela emissão do token. O mecanismo deveria confirmar rigorosamente se o emissor e as credenciais apresentadas pertencem a uma origem confiável.
Quarto, a combinação dessas condições pode resultar em uma validação inadequada da assinatura. O servidor acaba aceitando um token que não deveria ser considerado legítimo.
O resultado é um bypass de autenticação no SharePoint, no qual o invasor tenta fazer o servidor acreditar que a requisição pertence a determinada identidade sem possuir as credenciais legítimas dessa conta.
Onde a validação do JWT apresenta problemas
A análise técnica também chama atenção para as classes SPJsonWebSecurityTokenHandlerV2 e SPJsonWebSecurityBaseTokenHandlerV2, componentes relacionados ao processamento dos tokens de segurança do SharePoint.
Essas classes participam da interpretação dos tokens e da aplicação das regras que determinam se uma credencial apresentada ao servidor deve ser aceita.
O problema não está no uso de JWT em si. JWT é amplamente utilizado em sistemas modernos de autenticação. A questão é a implementação específica das verificações no SharePoint.
Em um fluxo seguro, o servidor precisa controlar rigorosamente quais algoritmos são aceitos, quais emissores são confiáveis e quais certificados podem ser utilizados para validar uma assinatura.
Quando informações controladas pelo usuário conseguem influenciar essas decisões, o mecanismo criptográfico perde parte de sua finalidade.
É justamente esse tipo de falha de implementação que torna a vulnerabilidade perigosa. O invasor não precisa necessariamente quebrar a criptografia. Ele procura fazer com que o sistema valide incorretamente aquilo que recebeu.
Por que a divulgação da PoC aumenta o risco?
A publicação de uma prova de conceito funcional muda significativamente o cenário para os administradores.
Antes de uma técnica de exploração ser documentada, um atacante precisa investir tempo em engenharia reversa, análise do código e desenvolvimento da própria exploração. Depois que pesquisadores demonstram o caminho utilizado, essa barreira diminui.
Foi nesse contexto que a pesquisa da Rapid7 ganhou importância. A empresa demonstrou a exploração da vulnerabilidade durante sua pesquisa para o Pwn2Own Berlin e mostrou que o problema poderia fazer parte de uma cadeia de ataque mais ampla.
A pesquisa combinou a falha de autenticação com outra vulnerabilidade do SharePoint para demonstrar uma cadeia capaz de chegar a execução remota de código sem autenticação.
Isso não significa que toda exploração da CVE-2026-55040 resulte automaticamente em execução remota de código. O impacto depende da cadeia utilizada e das condições existentes no servidor.
Ainda assim, a demonstração pública fornece informações valiosas para quem pretende reproduzir o ataque.
Exploração ativa exige atenção redobrada
É necessário fazer uma distinção importante entre tentativas de exploração, circulação de PoCs e comprometimentos confirmados.
Relatórios de telemetria e monitoramento de ameaças podem identificar sistemas sendo sondados ou requisições maliciosas relacionadas às técnicas divulgadas. Isso demonstra interesse dos atacantes, mas não significa necessariamente que todos os servidores observados tenham sido comprometidos.
Da mesma forma, a presença de outras vulnerabilidades do SharePoint no catálogo CISA KEV, que reúne falhas conhecidas por exploração, demonstra que a plataforma está sendo ativamente visada, mas não deve ser usada como prova automática de exploração generalizada da CVE-2026-55040.
Para os administradores, entretanto, a diferença não muda a prioridade.
Um SharePoint sem patch e acessível externamente representa uma superfície de ataque desnecessariamente exposta, especialmente depois que detalhes técnicos sobre a vulnerabilidade se tornam públicos.
O que os administradores devem fazer agora?
A principal medida é instalar imediatamente as atualizações de segurança disponibilizadas pela Microsoft para a versão do SharePoint utilizada pela organização.
O procedimento deve incluir todos os servidores que participam da farm. Atualizar somente um nó enquanto outros permanecem vulneráveis pode deixar uma porta aberta para o atacante.
Também é importante verificar o build instalado, confirmar se o patch foi aplicado corretamente e revisar os procedimentos de atualização específicos da versão do SharePoint.
Além da correção, equipes de segurança devem adotar medidas complementares:
Reduza a exposição externa: servidores SharePoint que não precisam ser acessíveis diretamente pela internet devem permanecer protegidos por controles de rede apropriados.
Revise os logs: procure requisições anormais, tentativas de autenticação suspeitas, alterações inesperadas de permissões e comportamentos incompatíveis com as atividades normais dos usuários.
Monitore contas privilegiadas: qualquer alteração inesperada envolvendo administradores do SharePoint merece investigação.
Habilite mecanismos de proteção: a Microsoft e a CISA também recomendam recursos como AMSI (Antimalware Scan Interface) para ampliar a capacidade de inspeção e detecção em ambientes SharePoint.
Investigue sinais de comprometimento: se houver indícios de exploração antes da aplicação do patch, a simples instalação da atualização não deve encerrar a investigação. É necessário avaliar se houve criação de persistência, alteração de arquivos, abuso de contas ou movimentação lateral.
Conclusão: o patch não pode esperar
A CVE-2026-55040 demonstra mais uma vez por que vulnerabilidades de autenticação em plataformas corporativas precisam ser tratadas como prioridade máxima.
O problema combina acesso remoto, ausência de autenticação prévia e uma falha na validação de tokens JWT, criando uma condição particularmente perigosa para servidores SharePoint que permanecem expostos e sem atualização.
A divulgação da PoC da Rapid7 também reduz o esforço necessário para reproduzir a técnica. Quanto mais informações técnicas ficam disponíveis publicamente, maior tende a ser a pressão sobre organizações que ainda não corrigiram seus ambientes.
O cenário também ocorre em um momento no qual outras vulnerabilidades críticas do SharePoint já foram exploradas por atacantes, reforçando que servidores da plataforma continuam sendo alvos relevantes para campanhas contra ambientes corporativos.
Por isso, administradores de Windows, Linux, SharePoint e equipes de SecOps devem tratar a atualização como uma ação imediata. O caminho mais seguro é aplicar os patches da Microsoft, verificar todos os servidores da farm, reduzir a exposição desnecessária e investigar os registros de acesso.
Esperar por uma confirmação de comprometimento em larga escala pode ser uma estratégia perigosa. Em segurança, quando uma falha crítica de autenticação já possui detalhes técnicos públicos, o tempo entre a divulgação da técnica e a correção do ambiente precisa ser o menor possível.