LONDON (IT BOLTWISE) – Sicherheitsforschung warnt vor aktiver Ausnutzung einer kritischen SharePoint-Schwachstelle, die bis zur Ausführung von Code im Netzwerk reicht. Laut Beobachtungen stehlen Angreifer dabei sogenannte Machine Keys und schaffen sich damit einen anhaltenden Zugriff, selbst wenn betroffene Server später gepatcht werden. Entscheidend ist außerdem der Angriffsweg über eine Deserialisierung untrusted data im Rahmen von WS-Federation-Anmeldungen. Für Betreiber heißt das: Patchen allein reicht nicht – ersetzte und gedrehte Credentials sind für potenziell exponierte Assets ebenso Teil der Sofortmaßnahmen.
In vielen Unternehmen gilt SharePoint als zuverlässige Kollaborationsbasis, die dennoch ein attraktives Ziel bleibt: Wenn Identitäten und Sitzungstokens kompromittiert sind, lassen sich sehr schnell Zugriffsmöglichkeiten auf Dokumente und Websites aufbauen. Genau hier setzt die aktuell gemeldete Problematik an. Im Zentrum steht die kritische Schwachstelle CVE-2026-50522 in Microsoft SharePoint, die offenbar bereits aktiv ausgenutzt wird. Der Kern des Problems: Ein Angreifer kann eine Schwachstelle nutzen, die als Deserialization-of-untrusted-data beschrieben wird und aus der Ferne Code ausführt – ohne dass dafür eine vorherige Authentifizierung erforderlich wäre.
Was für Sicherheitsverantwortliche besonders brisant ist, liegt nicht nur in der Remote Code Execution (RCE) als solcher, sondern in der beschriebenen Folgewirkung. Nach Angaben aus der Beobachtungskette können Angreifer beim erfolgreichen Zugriff Machine Keys stehlen. Diese Schlüssel sind in dieser Systemarchitektur Teil der kryptografischen Grundlage, um Tokens zu signieren oder zu validieren. Wer die Schlüssel besitzt, kann anschließend gültige Authentifizierungs-Tokens erzeugen und dadurch Benutzeridentitäten imitieren. Das erlaubt nicht nur das einmalige Ausnutzen eines Servers, sondern kann den dauerhaft angelegten Zugriff auf SharePoint-Ressourcen ermöglichen – etwa auf Seiten und Dokumente, die der gefälschten Identität entsprechende Rechte haben.
Technisch wird die Schwachstelle als Deserialisierungsfehler in einem Pfad beschrieben, der Daten verarbeitet, die ein Angreifer beeinflussen kann. In der Angriffsbeschreibung wird deutlich, warum die Klassifizierung so ernst genommen wird: Ein Angreifer übermittelt über einen WS-Federation-Login-Response eine manipulierte Komponente an ein SharePoint-Endpunkt-URL wie /_trust/default.aspx. Dabei versucht er, die Verarbeitung einer .NET BinaryFormatter-Nutzlast auszulösen. Die Vorgehensweise folgt dem Muster, dass ein bösartiges BinaryFormatter-Payload in ein Cookie beziehungsweise in einen Teil eines gefälschten Kontexts eingebettet wird. Konkret ist von einem SecurityContextToken die Rede, dessen Inhalt so präpariert ist, dass bei Vorhandensein einer verwundbaren Deserialisierungsroute der Payload zu beliebigem Code auf dem SharePoint-Server führt.
Zeitlich zeichnet sich zudem ein wichtiges Bild für die Incident-Response-Praxis ab: Microsoft habe die Lücke in seinen Security Updates adressiert, die im Juli veröffentlicht wurden. Allerdings war die Schwachstelle nicht als „aktuell aktiv ausgenutzt“ markiert; gleichzeitig deutet das Advisory auf eine erhöhte Wahrscheinlichkeit hin, dass sie in der Praxis bald verwendet wird. In der Folge berichten Beobachter, dass Angreifer zeitnah nach Veröffentlichung eines Proof-of-Concept-Exploits begonnen hätten, verwundbare On-Premise-Installationen ins Visier zu nehmen. Eine Offensive-Research-Perspektive ordnet das so ein, dass PoC-Verfügbarkeit häufig als Auslöser wirkt, weil damit die Hürde sinkt, die Lücke in produktionsnahe Abläufe zu integrieren.
Ein weiterer Punkt, der in der operativen Verteidigung oft unterschätzt wird, ist die Diskrepanz zwischen „Patch installiert“ und „Zugriff vollständig entfernt“. Die Empfehlung lautet daher explizit, nicht nur die neueste SharePoint-Sicherheitsaktualisierung einzuspielen, sondern auch betroffene Zugangsdaten zu rotieren, falls ein Asset potenziell exponiert war. Der Grund ist nachvollziehbar: Wenn Machine Keys tatsächlich kompromittiert wurden, kann der Angreifer über die Fähigkeit, Signaturen für Tokens zu erzeugen, weiterhin Sitzungskontexte fortsetzen oder neue Token ausstellen. In einem solchen Szenario sind klassische Maßnahmen wie das reine Deaktivieren eines kompromittierten Dienstkontos zwar sinnvoll, aber nicht zwingend ausreichend, um das Wiederauftreten über neu signierte Tokens zu verhindern.
Für die Suche nach Indikatoren (Indicators of Compromise) lohnt es sich außerdem, die Logik des Angriffsweg genauer zu betrachten: Da der Angriff über WS-Federation-Anmeldungen und die Verarbeitung von Token-Formaten läuft, können sich Spuren in der Nähe von Authentifizierungsflows zeigen – auch dann, wenn EDR/Monitoring nicht sofort „Treffer“ ausgibt. Praktisch bedeutet das, dass Teams nicht nur nach bekannten Payload-Artefakten schauen sollten, sondern nach Auffälligkeiten in Token-Verarbeitung, ungewöhnlichen Mustern in Anmeldeantworten und ungewöhnlichen Fehler-/Erfolgs-Kombinationen beim Zugriff auf den /_trust/default.aspx-Pfad. Gerade weil die Schwachstelle RCE ohne Authentifizierung ermöglicht, kann ein Angriffsversuch auf niedriger Ebene beginnen und erst später Auswirkungen im SharePoint-Kontext sichtbar machen.
Aus Branchenperspektive ist die Meldung auch ein Reminder für das Zusammenspiel aus App-Standards, Identity-Mechanismen und sicheren Deserialisierungspraktiken. BinaryFormatter war in der Vergangenheit immer wieder ein Synonym für Deserialisierungsrisiken, weil es – vereinfacht gesagt – Objektgraphen so rekonstruiert, dass bösartige Typen und Methodenketten im falschen Kontext ausgeführt werden können. Auf der Architekturseite zeigt der Fall, wie stark Identity-Token-Workflows als „Klebstoff“ zwischen Systemen wirken: Wer die Kryptografie-Schicht (Machine Keys) oder den Verarbeitungsweg (untrusted deserialization) kompromittiert, erhält eine hebelartige Wirkung auf Authentisierung und Zugriff. Für Unternehmen heißt das, Patch-Management konsequent mit Credential-Rotation und gezielter Telemetrie rund um Authentifizierungsendpunkte zu koppeln – und zwar in einer Reihenfolge, die den tatsächlichen Angriffspfad abbildet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SharePoint-RCE (CVE-2026-50522): Angreifer stehlen Machine Keys und bleiben aktiv" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SharePoint-RCE (CVE-2026-50522): Angreifer stehlen Machine Keys und bleiben aktiv" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SharePoint-RCE (CVE-2026-50522): Angreifer stehlen Machine Keys und bleiben aktiv« bei Google Deutschland suchen, bei Bing oder Google News!