Microsoft confirma ataques ativos contra servidores SharePoint e lança patches de emergência
A Microsoft confirmou que servidores SharePoint on‑premises estão sofrendo ataques cibernéticos ativos explorando vulnerabilidades críticas na plataforma. Nos últimos dias, houve uma ofensiva global em larga escala atingindo esses sistemas – com potenciais vítimas envolvendo órgãos do governo dos EUA, agências estaduais, universidades e empresas privadas.
Relatos iniciais indicam que dezenas de milhares de servidores podem estar em risco ao redor do mundo, o que levou a Microsoft a emitir patches de segurança emergenciais fora do ciclo normal de atualizações para versões afetadas do SharePoint Server.
A falha explorada é de dia zero (zero-day) – ou seja, era desconhecida até ser descoberta já em uso pelos criminosos. A falha está catalogada como CVE-2025-53770 e foi apelidada de “ToolShell” pelas autoridades de segurança dos EUA. Trata-se de uma vulnerabilidade crítica (pontuação CVSS 9.8/10) de execução remota de código (RCE), explorada por meio de uma falha de desserialização em servidores SharePoint on-premises.
Na prática, esse bug permite que um invasor não autenticado assuma controle total do servidor alvo pela rede. A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) destacou que o exploit concede acesso não autorizado aos conteúdos do SharePoint – incluindo sistemas de arquivos, configurações internas – e possibilita ao atacante executar códigos maliciosos remotamente, comprometendo por completo o ambiente da organização
Pesquisas revelaram que essa campanha de ataques vem ocorrendo de forma agressiva e deliberada, e não apenas oportunista. De acordo com a empresa Rapid7, os invasores estão explorando a brecha do CVE-2025-53770 para obter execução de código não autenticada, estabelecer acesso persistente nos servidores invadidos e extrair chaves criptográficas sensíveis do SharePoint.
Com essas chaves em mãos, os criminosos podem forjar tokens de autenticação válidos e continuar acessando os sistemas mesmo após a aplicação de patches, efetivamente bypassando correções futuras e mantendo uma presença oculta na rede comprometida. Isso significa que, sem ações adicionais de remediação, simplesmente corrigir a falha não garante a remoção dos invasores caso o ambiente já tenha sido violado.
Investigadores apontam ainda que os agressores têm conseguido contornar controles de identidade das redes alvo – incluindo mecanismos de multi-fator (MFA) e single sign-on (SSO) – para escalar privilégios e se mover lateralmente.
Resposta da Microsoft e patches emergenciais
Diante da emergência, a Microsoft mobilizou sua estrutura de segurança global. “Temos coordenado estreitamente com a CISA, o Comando de Defesa Cibernética do Departamento de Defesa e parceiros-chave de cibersegurança em todo o mundo durante toda a nossa resposta”, afirmou um porta-voz da empresa. No sábado (19), a Microsoft publicou um alerta de cliente reconhecendo estar “ciente de ataques ativos visando clientes do SharePoint Server on-premises por meio da exploração de vulnerabilidades”.
Simultaneamente, foram lançadas atualizações de segurança emergenciais para mitigar os problemas nas versões SharePoint Server Subscription Edition e SharePoint Server 2019. Até o momento inicial do ataque, porém, não havia patch disponível para o SharePoint Server 2016, e a Microsoft confirmou que estava trabalhando em correções urgentes para essa edição mais antiga.
No domingo (20), o alerta se tornou ainda mais crítico após confirmação de órgãos de segurança governamentais. A CISA incluiu oficialmente o CVE-2025-53770 em seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), e emitiu comunicado reconhecendo “exploração ativa de uma nova vulnerabilidade de execução remota de código (RCE) que possibilita acesso não autorizado a servidores SharePoint on-premise”.
O órgão americano, responsável por proteger infraestrutura crítica, reforçou que o exploit (apelidado ToolShell) representa “risco às organizações”, pois “fornece acesso não autenticado a sistemas e permite que agentes maliciosos acessem totalmente o conteúdo do SharePoint, incluindo o sistema de arquivos e configurações internas, além de executar código remotamente pela rede”.
Entre os alvos confirmados estão agências federais e estaduais norte-americanas, empresas do setor energético, uma grande operadora de telecomunicações asiática, além de diversas instituições acadêmicas – incluindo uma universidade localizada no Brasil. A europeia a Eye Security conduziu varreduras em mais de 8 mil servidores SharePoint expostos globalmente e identificou que pelo menos “dezenas de sistemas” já estavam comprometidos, estimando que os ataques começaram por volta de 18 de julho de 2025.
Ou seja, os invasores se moveram rapidamente para explorar a brecha antes mesmo da disponibilização de patches, tentando atingir o máximo de servidores vulneráveis possível. Os efeitos das invasões variam entre espionagem silenciosa e disrupção de serviços. Em pelo menos um caso, hackers sequestraram um repositório inteiro de documentos públicos de um órgão estadual nos EUA, impedindo o acesso legítimo a esses dados.
Isso levantou o espectro de um possível ataque do tipo wiper (destruição de dados) – algo raro, mas extremamente preocupante quando se trata de informações governamentais críticas. Em geral, porém, a maioria dos incidentes registrados envolve furto de informações confidenciais e de credenciais e instalação de backdoors para persistência, sem indicativos de destruição deliberada de dados.
Medidas de mitigação e recomendações
A Microsoft já divulgou uma série de ações emergenciais para conter os danos. Aplicar imediatamente os patches já disponibilizados é a primeira e mais urgente delas. Para SharePoint Server 2019 e Subscription Edition, as atualizações de segurança lançadas em caráter extraordinário devem ser instaladas sem demora. No caso do SharePoint 2016, que inicialmente permaneceu sem correção, a orientação temporária foi isolar ou desconectar o servidor da internet até que o patch seja liberado. A Microsoft salientou que, se por algum motivo um cliente não puder aplicar a correção de imediato, deve ao menos habilitar as proteções antimalware recomendadas ou remover o servidor da exposição externa enquanto aguarda a atualização.
Outra medida fundamental após aplicar os patches é rotacionar as chaves criptográficas do SharePoint (ASP.NET machine keys) e reiniciar os serviços, a fim de invalidar quaisquer tokens ou sessões que os invasores possam ter capturado. Essa troca de chaves garante que mesmo um atacante que roubou credenciais ou cookies de sessão perca o acesso contínuo. A Microsoft disponibilizou procedimentos para efetuar essa rotação de forma manual (via PowerShell ou Central Administration) imediatamente após a correção do sistema.
Especialistas também orientam as organizações a conduzirem varreduras de comprometimento (compromise assessment) em seus servidores SharePoint – especialmente se estavam expostos publicamente – procurando por indícios de invasão, como arquivos ASPX desconhecidos (por exemplo, o web shell spinstall0.aspx mencionado em relatórios técnicos) ou processos estranhos rodando nos servidores.
