Para: organizações que rodam o Microsoft SharePoint Server em servidores próprios (Subscription Edition, 2019 ou 2016), e os parceiros que fazem a manutenção deles. O SharePoint Online no Microsoft 365 não está listado no aviso. Esta página se baseia no guia de atualizações de segurança da Microsoft, no NVD e no catálogo KEV da CISA; não contém passos de ataque nem código de exploit.
Em andamento: esta página será atualizada conforme mais for publicado
- Quem é afetado
organizações que rodam o Microsoft SharePoint Server em servidores próprios (Subscription Edition, 2019 ou 2016), e os parceiros que fazem a manutenção deles. O SharePoint Online no Microsoft 365 não está listado no aviso.
- Confirmado até agoraVer a tabela ↓
- Produtos afetados e builds corrigidas
- Exige login
- Ataques reais
Apontado como possivelmente afetado
- Tentativas sem login via visualização anônima
- Ainda não confirmado
- Quantos servidores foram atacados ou comprometidos
- O número CVE do problema separado corrigido em junho de 2026, e se a Microsoft relaciona os dois
- O que os invasores fizeram depois de executar código nos servidores
- O que fazer agoraVer os passos ↓
- Confira a build de cada servidor do farm
- Instale todos os pacotes de atualização da sua versão
- Confirme que as atualizações de junho de 2026 também estão instaladas
Mais 2
- Revise o acesso anônimo
- Verifique os servidores que estavam com atualizações atrasadas
- Onde verificar (fonte)Todas as fontes ↓
- Microsoft, Security Update Guide: CVE-2026-65660, Microsoft SharePoint Server Remote Code Execution Vulnerability (11 de agosto de 2026; revisão 1.2, 25 de setembro)
- Última verificação
- Em 31 de outubro de 2026 (JST)
Próximos avisos e o que verificamos
O aviso da Microsoft (revisão 1.2, 25 de setembro) e a entrada no KEV são públicos. Consultamos o guia de atualizações de segurança da Microsoft, o NVD e o feed KEV da CISA (versão 2026.10.30) em 31 de outubro.
O que fazer hoje
Confira a build de cada servidor do farm
Na Administração Central do SharePoint, ou com PowerShell em cada servidor, leia a build instalada e compare com a build corrigida da sua versão: Subscription Edition 16.0.19725.20522, 2019 16.0.10417.20198, 2016 16.0.5565.1001. Verifique todos os servidores do farm, incluindo os de pesquisa e de aplicativos.
Instale todos os pacotes de atualização da sua versão
Subscription Edition: KB5002893. SharePoint Server 2019: KB5002894 e KB5002896. SharePoint Enterprise Server 2016: KB5002905 e KB5002906. As perguntas frequentes da Microsoft dizem para aplicar todas as atualizações oferecidas para o software instalado. Depois de instalar, execute o Assistente de Configuração de Produtos do SharePoint (ou PSConfig) em cada servidor para concluir a atualização.
Confirme que as atualizações de junho de 2026 também estão instaladas
Uma empresa de segurança relata que as tentativas de ataque combinavam esta falha com um problema separado que, segundo uma equipe de pesquisa de segurança, foi corrigido em 9 de junho de 2026. Verifique se as atualizações do SharePoint de junho de 2026 estão instaladas, e não só as de agosto.
Revise o acesso anônimo
As tentativas descritas pela empresa de segurança dependem de sites que permitem visualização anônima. Liste quais aplicativos web e sites têm o acesso anônimo ativado e desative-o onde não for necessário. Mantenha o SharePoint fora da internet, a menos que ele precise ser público, e coloque-o atrás de um gateway que exija login sempre que possível.
Verifique os servidores que estavam com atualizações atrasadas
O KEV marca esta CVE para os requisitos de triagem forense da CISA. Em termos gerais (sugestão nossa): procure arquivos .aspx ou .dll novos nas pastas web do SharePoint que sua equipe não implantou, processos inesperados iniciados pelo processo de trabalho do IIS e solicitações POST incomuns nos logs do IIS vindas de endereços que você não reconhece. Se encontrar algo que não consiga explicar, isole o servidor, envolva sua equipe de resposta a incidentes e troque as credenciais e chaves que o servidor guarda antes de reconectá-lo.
O que foi divulgado
- Produto
- Microsoft SharePoint Server Subscription Edition, SharePoint Server 2019, SharePoint Enterprise Server 2016 (locais)
- Tipo
- Injeção de código (CWE-94)
- Autenticação
- Necessária: acesso de baixo nível. Sem interação do usuário (Microsoft)
- Gravidade
- CVSS v3.1 8.8; classificação da Microsoft: Important
- Builds corrigidas
- Subscription Edition 16.0.19725.20522 (KB5002893); 2019 16.0.10417.20198 (KB5002894, KB5002896); 2016 16.0.5565.1001 (KB5002905, KB5002906)
- Lançamento
- 11 de agosto de 2026 (atualizações de segurança mensais)
- Exploração
- "Evidências confiáveis de ataques observados" em 25 de setembro de 2026 (Microsoft)
- KEV
- Adicionada em 25 de setembro de 2026; prazo: 28 de setembro. Marcada para os requisitos de triagem forense da CISA
1. Conferir builds
Todos os servidores do farm
2. Instalar todos os pacotes
Os KBs de agosto, e também as atualizações de junho
3. Revisar e verificar
Acesso anônimo; sinais de comprometimento
Linha do tempo
9 de junho de 2026
Uma equipe de pesquisa de segurança relata que nesta data foi corrigido um problema separado do SharePoint que permitia a entrega anônima de solicitações (nenhum número CVE identificado na análise).11 de agosto
A Microsoft publica a CVE-2026-65660 e as atualizações de segurança, descrevendo-a primeiro como uma falha de falsificação (spoofing).27 de agosto
A Microsoft muda o título, o impacto e as perguntas frequentes para execução remota de código (revisão 1.1, descrita como informativa).24 de setembro
Uma empresa de segurança relata tentativas de ataque contra um honeypot que combinam esta falha com o problema separado de entrega anônima.25 de setembro
A Microsoft acrescenta que tem evidências confiáveis de ataques observados (revisão 1.2). A CISA adiciona a CVE ao catálogo KEV com prazo de 28 de setembro.31 de outubro
Nenhuma nova revisão do aviso da Microsoft.
O que se sabe e o que não se sabe
| Item | O que as fontes dizem | Situação |
|---|---|---|
| Produtos afetados e builds corrigidas | Três versões locais; atualizações de 11 de agosto | Confirmado (Microsoft) |
| Exige login | Acesso de baixo nível, sem interação do usuário | Confirmado (Microsoft) |
| Ataques reais | Evidências confiáveis de ataques observados (25 de setembro) | Abuso confirmado (Microsoft) |
| Tentativas sem login via visualização anônima | Tentativas vistas em um honeypot, combinadas com um problema separado | Possível |
| Número CVE do problema de junho | Não identificado nas fontes consultadas | Não informado |
| Número de servidores comprometidos | Não publicado | Não informado |
| SharePoint Online | Não listado no aviso da Microsoft | Não informado |
Os dados do aviso da Microsoft ainda mostravam "Exploited: No" no campo de resumo em 31 de outubro, enquanto a nota da revisão de 25 de setembro diz que ataques foram observados. A nota da revisão é a declaração mais recente, e a CISA lista a CVE como explorada.
Por que o primeiro rótulo fez diferença
Quando a atualização saiu em 11 de agosto, o aviso a chamava de falha de falsificação (spoofing). Ela só passou a ser execução remota de código em 27 de agosto, em uma revisão que a Microsoft marcou como informativa; a Microsoft não considerou que a revisão 1.1 exigisse uma notificação. Equipes que ordenaram as atualizações de agosto por impacto podem tê-la agendado depois de outras correções.
A lição para qualquer farm do SharePoint é instalar as atualizações do SharePoint de cada mês como um conjunto, em vez de escolher pelo rótulo de cada CVE. Rótulos podem mudar depois do lançamento, e uma falha que exige login pode ser combinada com outra que elimina essa exigência.
Fontes
Consultadas em 31 de outubro de 2026 (JST).
- Microsoft, Security Update Guide: CVE-2026-65660, Microsoft SharePoint Server Remote Code Execution Vulnerability (11 de agosto de 2026; revisão 1.2, 25 de setembro) — msrc.microsoft.com
- NVD, CVE-2026-65660 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog (adicionada em 25 de setembro de 2026) — cisa.gov
- Relatório de uma empresa de segurança sobre tentativas de ataque (24 de setembro de 2026; atualizado em 25 de setembro) — blog.previdian.com
Histórico de atualizações
2026-10-31: Primeira versão, com base no guia de atualizações de segurança da Microsoft, no NVD, no catálogo KEV da CISA e no relatório de uma empresa de segurança.
Leia a seguir
- Exploradas no mesmo período: Vulnerabilidades exploradas em dispositivos de borda, meados de outubro de 2026
- Priorizar correções: Como decidir quais CVEs corrigir primeiro (CVSS, EPSS, KEV)
- Verificar comprometimento: Como verificar se seu servidor foi comprometido
- Passos de resposta: Guia de correção de vulnerabilidades
- Termos: O que é execução remota de código (RCE)? / O que é CVSS?