REDMOND / LONDON (IT BOLTWISE) – Microsoft hat eine neue Lücke in SharePoint Server mit CVE-2026-50522 im Patch-Tuesday-Paket für Juli 2026 geschlossen. Kurz darauf meldete eine Sicherheitsbeobachtung, dass die Schwachstelle bereits aktiv ausgenutzt wird – offenbar auch nach Veröffentlichung eines öffentlichen Proof-of-Concept. Im Kern handelt es sich um eine kritische Deserialisierung untrusted Daten, die über das Netzwerk zu Remote Code Execution führen kann. Besonders brisant: Angreifer sollen dabei Maschinen-Schlüssel stehlen, um langfristigen Zugriff zu sichern.
Mit CVE-2026-50522 rückt erneut eine besonders gefährliche Klasse von Angriffswegen in den Fokus: Remote Code Execution über das Entpacken und Ausführen nicht vertrauenswürdiger Daten. Die Schwachstelle wurde von Microsoft im Zuge des Patch-Tuesday-Updates für Juli 2026 adressiert und erhält einen CVSS-Score von 9,8. Technisch beschrieben geht es um eine kritische Deserialisierung, die bei Microsoft Office SharePoint Servern ausgenutzt werden kann, wenn ein Angreifer eine gezielte Anfrage erzeugt und die betroffene Komponente die Daten anschließend verarbeitet. Das zentrale Risiko liegt dabei nicht nur im Code-Execution-Pfad, sondern im Umstand, dass der Angriff über das Netzwerk erfolgen kann und damit selbst bei abgeschlossenen Umgebungen oft indirekt über Migrations-, Reverse-Proxy- oder Extranet-Zugänge erreichbar ist.
Aus Sicht der Angriffslogik ist CVE-2026-50522 damit ein typischer „Enterprise-Server“-Kill-Switch: Der Angriffsvektor wird als Network (AV: N) eingestuft, die Komplexität als Low (AC: L). Das bedeutet in der Praxis, dass kein detailliertes Vorwissen über die Zielumgebung nötig sein muss und die Erfolgsrate mit dem Payload-Design wiederholbar bleibt. In der Microsoft-Beschreibung ist zudem eine Mindestberechtigung genannt: Ein Angreifer muss sich mindestens als Site Owner authentifizieren können, um die für den Angriff relevante Funktionalität auszulösen. Für Betreiber ist genau dieser Detailpunkt entscheidend, weil er zeigt, dass klassische „Außenzugriff verboten“-Modelle allein nicht reichen, sobald Identitäten über kompromittierte Konten, tokenbasierte Sitzungen oder fehlkonfigurierte Rollenprofile in Richtung „Site Owner“ abrutschen.
Die Lage verschärft sich durch die zeitliche Nähe zur Veröffentlichung von öffentlichen Exploit-Details. Laut einer Sicherheitsbeobachtung wurden nach dem Erscheinen eines öffentlichen Proof-of-Concepts aktive Ausnutzung gegen On-Premises-Installationen detektiert. Dabei geht es nicht nur um den initialen Zugriff, sondern um nachgelagerte Post-Exploitation-Schritte, die typischerweise Persistenz und das nachträgliche Ausrollen von Schadcode sichern. Genannt wird konkret das Abschöpfen von „SharePoint machine keys“ per „single request“: Ein einzelner Aufruf soll ausreichen, um Schlüssel zu erbeuten, mit denen sich eine bestehende Zugriffskontinuität aufrechterhalten lässt. Genau an dieser Stelle merken viele Defender zu spät, dass ein reines Patchen oft nicht genügt, wenn während des Ausnutzungsfensters Geheimmaterial kompromittiert wurde; dann muss zusätzlich rotiert werden, was unter Umständen auch als „Maschinenschlüssel“ für die Sitzungsauthentisierung oder bestimmte Token-Validierungen verstanden wird.
Dass CVE-2026-50522 nicht isoliert steht, zeigt ein Blick auf die vorausgegangenen SharePoint-Server-Vorfälle: Es ist bereits die dritte dokumentierte Schwachstelle, die in vergleichbaren Kampagnen aktiv ausgenutzt wird. Neben CVE-2026-56164 (CVSS 5,3) und CVE-2026-58644 (CVSS 9,8) wird berichtet, dass zwei der zuvor angegriffenen Lücken bereits als Zero-Days mit Waffennutzung auftauchten, bevor sie im Juli 2026 geschlossen wurden. Für Security-Teams bedeutet das: Die „Patch-Tuesday nur als Häkchen“-Strategie greift zu kurz, sobald Angreifer die Zeit zwischen erstem öffentlichen Indiz und kompletter Bereinigung ausnutzen. Außerdem steigt die Wahrscheinlichkeit von Angriffsketten, bei denen ein Einstieg über eine Schwachstelle erfolgt und danach die Umgebung gezielt auf weitere verwertbare Fehler und Konfigurationszustände geprüft wird.
Auch auf behördlicher Ebene kommt zusätzlicher Druck hinzu. Die U.S.-Cybersecurity- und Infrastructure-Sicherheitsbehörde CISA hat gewarnt, dass Akteure mehrere SharePoint-Server-Schwachstellen ausnutzen, um nicht autorisierte Zugriffe auf On-Premises-Instanzen zu erreichen. Genannt werden dabei unter anderem CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 sowie CVE-2026-58644. In der zusammenfassenden Einschätzung wird beschrieben, dass diese Fehler sowohl RCE-Schritte (Remote Code Execution) als auch typische Post-Exploitation-Aktivitäten ermöglichen, etwa das Stehlen von IIS-Maschinen-Schlüsseln und den Einsatz von Deserialisierungstechniken, um Persistenzmechanismen aufzusetzen oder Schadsoftware nachzuladen. Besonders relevant ist dabei der Passus, dass die betroffenen Schwachstellen alle unterstützten On-Premises-SharePoint-Server-Versionen umfassen: Subscription Edition, 2019 und 2016. Das reduziert die „Verfügbarkeits“-Option für Defender, denn es gibt weniger Spielraum für Version-spezifische Risikobereinigungen ohne ein strukturiertes Inventar.
Strategisch sollten Unternehmen deshalb die Reaktionskette so planen, dass sie sowohl Patch- als auch Credential-Rotation umfasst. Das heißt konkret: Erstens sollten die betroffenen Systeme aus dem Patch-Zyklus nicht nur „auf dem Papier“ aktualisiert werden, sondern auch in der tatsächlichen Laufzeitkonfiguration geprüft werden, inklusive der Tatsache, dass Zwischeninstanzen wie Scheduler-Worker oder die hinterlegten Komponenten im SharePoint-Ökosystem ebenfalls auf den korrigierten Stand gebracht sein müssen. Zweitens ist der Schritt zur Schlüssel- und Berechtigungsrotation entscheidend, wenn es Hinweise auf Ausnutzung im Zeitfenster gab. Drittens lohnt sich eine Forensik- und Detection-Perspektive auf Verhalten: Wenn ein Exploit nach dem PoC vorliegt, sind häufig wiederkehrende Indikatoren in Web-Requests, Fehlerbildern und unerwarteten Ausführungssignaturen sichtbar. Auch wenn die Details des Payloads nicht öffentlich im selben Umfang dokumentiert sind wie das PoC selbst, lässt sich die Kombination aus Netzwerkindikatoren und Authentifizierungsereignissen meist recht gut priorisieren.
Für die technische Foundation hinter dem Problem ist das Muster wiedererkennbar: Deserialisierungsschwachstellen entstehen häufig dort, wo serverseitige Komponenten Datenobjekte rekonstruieren, ohne ausreichend gegen Manipulation abgesichert zu sein. In vielen modernen Angriffsketten wird diese Schwachstelle dann direkt als Weg genutzt, um in den Anwendungsprozess zu gelangen; von dort aus werden nachgelagerte Schritte durchgeführt, etwa das Nutzen von Anwendungsschlüsseln, um Session-Tokens länger gültig zu halten oder sich unbemerkt in die Authentisierung einzuklinken. Genau deshalb ist die Einstufung „Exploitation More Likely“ für CVE-2026-50522 so bedeutsam: Sie signalisiert nicht nur ein theoretisch erreichbares Risiko, sondern eine realistische Erwartung, dass Angreifer die Lücke praktisch testen und automatisieren. Daneben erklärt sie, warum sich die Lage in relativ kurzer Zeit dynamisch entwickelt, sobald ein wiederholbarer Exploit öffentlich verfügbar wird.
Angesichts dieser Gemengelage ist die zentrale Frage für Betreiber weniger „Kommt ein Patch?“, sondern „Wie schnell und vollständig wird die Umgebung nach dem Patch wirklich bereinigt?“. Wenn Maschinen-Schlüssel oder vergleichbare Geheimmaterialien kompromittiert wurden, genügt ein Update ohne Rotation nicht; dann muss die Vertrauenskette komplett neu aufgebaut werden. Gleichzeitig zeigt die Serie aktiver Ausnutzung, dass die defensive Basis aus Inventar- und Patch-Management, aber auch aus Monitoring für ungewöhnliche Post-Exploitation-Aktivitäten besteht. Wer SharePoint On-Premises betreibt, sollte die kommenden Tage daher nicht als reine Follow-up-Phase betrachten, sondern als operative Härtung: aktuelle Patches einspielen, Exposition prüfen, Identitäten mit relevanten Rollen (insbesondere Site Owner) absichern, Schlüssel rotieren und Anzeichen für wiederkehrende Zugriffe konsequent nachverfolgen. So lässt sich verhindern, dass aus einem initialen RCE-Fenster ein dauerhaftes Zugriffsmodell wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SharePoint RCE mit CVE-2026-50522: aktiv ausgenutzt, Schlüssel-Diebstahl offenbar" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SharePoint RCE mit CVE-2026-50522: aktiv ausgenutzt, Schlüssel-Diebstahl offenbar" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SharePoint RCE mit CVE-2026-50522: aktiv ausgenutzt, Schlüssel-Diebstahl offenbar« bei Google Deutschland suchen, bei Bing oder Google News!