Um Patch Tuesday fora da curva

A Microsoft liberou uma rodada recorde de correções: 622 vulnerabilidades próprias, segundo a contagem do Security Update Guide citada na publicação original. O volume é mais de três vezes maior que o pico anterior de junho, que havia ficado em torno de 200 falhas.

O número impressiona, mas quantidade não é o que define a urgência. Duas dessas falhas já estavam sendo exploradas quando a correção saiu. Ou seja, não são riscos hipotéticos: há ataques reais em andamento aproveitando esses problemas.

Como as duas falhas ativas funcionam

A primeira é a CVE-2026-56164, no SharePoint Server instalado em ambiente próprio da empresa. Segundo a Microsoft, ela permite que um invasor sem login eleve privilégios pela rede, sem depender de interação do usuário. Traduzindo: um servidor SharePoint Server vulnerável pode se tornar a porta de entrada para acesso indevido a dados e recursos internos.

A segunda é a CVE-2026-56155, no Active Directory Federation Services, o AD FS. Aqui o atacante já precisa estar autenticado, mas consegue elevar privilégios localmente por causa de controles de acesso frágeis. O peso é grande porque o AD FS emite tokens de login confiados por outros sistemas da organização.

Sinais de alerta para o time de TI

A fonte não traz indicadores técnicos de comprometimento, mas alguns pontos merecem acender o alerta operacional:

• Empresa usando SharePoint Server local, especialmente exposto à rede.
• Ambiente com AD FS em uso para autenticação corporativa.
• Servidores SharePoint Server 2016 ou 2019 ainda em produção, já que a mesma data marca o fim do suporte estendido dessas versões.
• Ausência de um plano claro para aplicar correções críticas no mesmo dia.

Também vale revisar eventos incomuns de autenticação, mudanças inesperadas de privilégio e acessos fora do padrão, principalmente nos servidores ligados a documentos e login corporativo.

O que fazer agora

A recomendação prática é começar pelo que já está sob ataque. Corrija primeiro o SharePoint Server local afetado pela CVE-2026-56164 e, em seguida, o AD FS atingido pela CVE-2026-56155. A publicação também aponta que ativar o AMSI em Full Mode no SharePoint ajuda a reduzir o impacto do ataque.

Há um alerta adicional: o SharePoint Server 2016 e o 2019 chegaram ao fim do suporte estendido na mesma data citada. Ao contrário do Windows Server ou do SQL Server, o texto informa que essas versões não contam com programa pago de atualizações estendidas. Se sua empresa ainda depende delas, migração ou substituição precisam entrar no plano de risco agora.

Checklist pratico

1. Liste todos os servidores Microsoft com SharePoint Server local e AD FS, separando os expostos à rede e os usados em autenticação.
2. Aplique primeiro as correções das CVEs 2026-56164 e 2026-56155, documentando data, responsável e sistemas atualizados.
3. No SharePoint Server, habilite o AMSI em Full Mode quando aplicável e revise as versões 2016 e 2019 que ficaram sem suporte estendido.

Perguntas frequentes

O que é um zero-day?

É uma falha já conhecida ou usada por atacantes antes de a correção estar amplamente aplicada. Neste caso, duas vulnerabilidades da Microsoft já estavam em exploração ativa quando o patch foi publicado.

Quem deve agir primeiro?

Empresas com SharePoint Server local e AD FS devem priorizar a atualização, porque esses sistemas lidam com documentos internos e autenticação corporativa.

Apenas instalar todas as atualizações resolve?

Atualizar é essencial, mas não basta. Vale revisar logs, confirmar se os servidores vulneráveis foram de fato corrigidos e ativar medidas adicionais, como o AMSI em Full Mode no SharePoint.

Conheca: Cofre Corporativo de MFA, Gestao de Acesso, Autenticacao Forte. mfa2go.com

Fontes:
https://thehackernews.com/2026/07/microsoft-patches-record-622-flaws.html