Nos últimos dias, uma onda de ataques cibernéticos explorando vulnerabilidades críticas no Microsoft SharePoint on-premises (instalado localmente) acendeu um sinal de alerta para empresas em todo o mundo. Essas brechas de “dia zero” – exploradas antes mesmo de patches estarem disponíveis – permitiram que agentes mal-intencionados comprometessem servidores SharePoint corporativos, levando especialistas a sugerir que as organizações reavaliem seus ambientes on-premises à luz dos riscos envolvidos em comparação com soluções em nuvem.
Contexto: vulnerabilidade crítica e a campanha “ToolShell”
Recentemente, foi divulgada uma falha de segurança crítica no Microsoft SharePoint Server – especificamente uma vulnerabilidade de execução remota de código (RCE) combinada a outra de spoofing (falsificação de identidade) – que afeta somente servidores on-premises. Essas brechas (CVE-2025-53770 e CVE-2025-53771) permitiram que invasores obtivessem controle total do servidor sem necessidade de autenticação prévia.
O problema se alastrou rapidamente em uma campanha global apelidada de “ToolShell”, resultando em ataques generalizados contra empresas e órgãos que utilizam o SharePoint on-premises. Estimativas iniciais apontam que centenas de organizações ao redor do mundo já foram comprometidas – incluindo agências governamentais nos EUA, instituições acadêmicas e até entidades de infraestrutura crítica. A gravidade da situação levou especialistas a classificar este cenário como um dos piores casos possíveis em termos de impacto e alcance de vítimas.
Patches de segurança foram desenvolvidos e liberados poucos dias após a descoberta do ataque – em um ritmo de resposta mais acelerado do que em incidentes passados semelhantes e, até a última sexta (24), a Microsoft já havia disponibilizado atualizações de segurança para todas as versões suportadas do SharePoint Server on-premises, incluindo edições 2016, 2019 e Subscription Edition
Contudo, aplicar o patch por si só não basta para eliminar completamente a ameaça. No seu comunicado aos clientes, a Microsoft enfatizou ser “crítico” que os administradores, além de instalar as atualizações, troquem as chaves de máquina (ASP.NET Machine Keys) dos servidores SharePoint. Essas chaves criptográficas atuam como um segredo interno do aplicativo – e acredita-se que os invasores as roubaram durante os ataques. Se as chaves não forem rotacionadas, os invasores podem manter acesso não autorizado mesmo após o servidor ser corrigido.
Escalada da ameaça: ransomware e atores avançados em ação
Apesar da rápida resposta em disponibilizar patches, a campanha de ataques evoluiu para um patamar mais perigoso. Pesquisadores da Microsoft detectaram que um dos grupos por trás dos ataques ao SharePoint começou a implantar ransomware nos servidores comprometidos, intensificando os danos potenciais.
Um post no blog de inteligência de ameaças da Microsoft apontou que um ator identificado como Storm-2603, e supostamente ligado à China, passou a utilizar a falha do SharePoint para entregar o ransomware Warlock nos sistemas invadidos.
O Storm-2603 já era conhecido por empregar tanto o Warlock quanto variantes do LockBit, outro ransomware de alto impacto, o que reforça o caráter híbrido da campanha – mesclando espionagem e extorsão financeira dentro do mesmo vetor de ataque. Não se trata de um caso isolado. Outros grupos avançados de ameaças também estão explorando as brechas do SharePoint Server.
De acordo com a Microsoft, pelo menos dois grupos ligados a estados-nação chineses – rastreados pelos codinomes Linen Typhoon e Violet Typhoon – têm aproveitado as mesmas vulnerabilidades em servidores on-premises.
A empresa de cibersegurança Eye Security, primeira a revelar publicamente os ataques ao SharePoint, reportou ter identificado comprometimentos em mais de 400 servidores SharePoint globalmente em múltiplas ondas de ofensivas. Entre as vítimas confirmadas estão vários órgãos do governo dos EUA, incluindo, segundo reportagens da mídia, o Departamento de Energia – com destaque para a Administração de Segurança Nuclear Nacional (NNSA) entre os afetados.
Basta aplicar o patch e pronto?
No caso deste ataque da Microsoft, não – em parte porque muitos invasores já obtiveram acesso inicial e podem tentar manter backdoors para futuras investidas, e em parte porque certamente ainda existem servidores sem patch espalhados pelo mundo, que continuarão sendo alvos fáceis.
Do ponto de vista estratégico, esses eventos trazem lições importantes para líderes de TI e executivos que decidem arquiteturas de sistemas corporativos. O caso do SharePoint evidenciou uma diferença marcante de risco entre manter aplicações críticas on-premises versus adotá-las como serviços em nuvem. Em primeiro lugar, vale notar que as falhas exploradas no SharePoint não afetaram o SharePoint Online, a versão em nuvem dentro do Microsoft 365.
Ou seja, clientes que utilizam o SharePoint Online não foram expostos a essa vulnerabilidade específica, ao passo que aqueles com servidores locais enfrentaram um cenário de emergência. Isso não significa que soluções em nuvem são imunes a falhas, mas neste incidente específico o modelo cloud demonstrou resiliência superior – possivelmente devido a diferenças arquiteturais e ao fato de a Microsoft poder aplicar proteções diretamente em seu ambiente de nuvem de forma centralizada.
Enquanto isso, empresas que rodam SharePoint em suas próprias infraestruturas precisam arcar com todo o ônus da gestão de patches e da segurança proativa. Muitas empresas mantêm sistemas on-premises por razões compreensíveis: integrações personalizadas, customizações específicas, requisitos regulatórios de dados, ou mesmo custo e inércia tecnológica.
Especialistas em segurança vêm argumentando que, diante desse panorama, as empresas ganharam fortes motivos para “refazer seu cálculo de risco” em relação ao SharePoint on-premises e reavaliar opções baseadas em nuvem. Afinal, migrar para o SharePoint Online elimina a exposição a esse tipo de incidente específico, já que o provedor (Microsoft) assume a responsabilidade de manter o serviço atualizado e protegido – como ficou demonstrado pelo fato de o ambiente online não ter sido afetado.
É claro que a nuvem não resolve todos os problemas de segurança, mas reduz a superfície de ataque em certos aspectos, transfere parte significativa do trabalho de patch management para o fornecedor e oferece arquitetura multi-tenant onde uma exploração massiva como a do ToolShell é muito mais difícil de ocorrer sem ser detectada e corrigida de imediato. Por outro lado, permanecer no modelo on-premises requer que a organização possua uma capacidade robusta de gestão de vulnerabilidades e incidentes.
Em suma, os ataques recentes ao SharePoint servem como um alerta: confiar apenas em sistemas locais sem um plano sólido de atualização e defesa pode expor a organização a riscos severos, incluindo roubo de dados sensíveis e interrupção total das operações via ransomware.
Por outro lado, soluções baseadas em nuvem mostraram-se menos vulneráveis nesse episódio específico – o que não elimina a responsabilidade de segurança do cliente, mas indica que certos vetores de ataque podem ser drasticamente reduzidos ao adotar serviços gerenciados pelo provedor.
