LONDON (IT BOLTWISE) – Sicherheitsforscher melden Angriffe auf Microsoft SharePoint, die auf die Schwachstelle CVE-2026-50522 zielen. Nach der Veröffentlichung eines funktionsfähigen Demonstrations-Codes wurden innerhalb kurzer Zeit Ausnutzungsversuche gegen lokale Installationen beobachtet. Besonders kritisch: Angreifer entwenden Maschinenschlüssel, um sich auch nach dem Schließen der Lücke weiterhin als legitime Nutzer auszugeben. Für IT-Teams bedeutet das vor allem sofortige Patch- und Rotationsmaßnahmen bei betroffenen Systemen.
Die Lage bei Microsoft SharePoint verschärft sich: Sicherheitsunternehmen berichten, dass Angreifer die Schwachstelle CVE-2026-50522 für Angriffe auf lokal betriebene SharePoint-Umgebungen nutzen. Microsoft hat die Lücke im Rahmen der Sicherheitsupdates vom Juli 2026 behoben. Gleichzeitig zeigen die Ereignisse nach dem Erscheinen eines funktionsfähigen Demonstrations-Codes, wie schnell Proof-of-Concept-Details in reale Ausnutzungsversuche übergehen können – nicht als Einzelfall, sondern als wiederholtes Muster auf verwundbaren Systemen.
Ein entscheidender Faktor sind dabei die beobachteten Taktiken hinter der eigentlichen Ausnutzung: Laut den Angaben eines beobachtenden Sicherheitsdienstes wurden innerhalb von Stunden nach der Publikation des Beispiel-Codes zielgerichtete Angriffsversuche auf Basis dieses PoC im eigenen Honeypot-Netzwerk sichtbar. Die Zeitlinie ist dabei besonders aufschlussreich: Am 20. Juli wurde Proof-of-Concept-Exploit-Code für CVE-2026-50522 identifiziert. Kurz darauf erfasste das Netzwerk Ausnutzungsversuche und konnte die Kompromittierung von Zielsystemen bestätigen – ein Hinweis darauf, dass der Angriff nicht nur theoretisch funktioniert, sondern in der Praxis reproduzierbar ist.
Im Kern geht es bei den Attacken um mehr als nur das kurzfristige Ausführen von Code. Die Akteure entziehen den kompromittierten SharePoint-Servern sogenannte Maschinenschlüssel. Diese Schlüssel versetzen Angreifer in die Lage, gültige Authentifizierungs-Token zu erstellen. Dadurch können sie sich als legitime Benutzer ausgeben und weiterhin auf SharePoint-Webseiten und Dokumente zugreifen, selbst nachdem die eigentliche Sicherheitslücke durch installierte Patches geschlossen wurde. Für IT-Verantwortliche ist das deshalb ein klassisches Beispiel dafür, dass die “Behebung” einer Schwachstelle aus Angreifersicht nicht gleichbedeutend mit dem Ende des Zugriffsrisikos ist.
Die beobachtete Logik passt zudem zu den gemeldeten Indizien anderer Sicherheitsanalysten. Schon am 17. Juli wurden verdächtige Deserialisierungs-Aktivitäten identifiziert, die auf SharePoint-Systeme abzielten. Das ist relevant, weil Deserialisierungsvorgänge in Web- und Enterprise-Anwendungen seit Jahren zu einer wiederkehrenden Angriffsfläche zählen: Wenn ein Dienst nicht vertrauenswürdige Daten deserialisiert, kann daraus – je nach Implementierung und enthaltenen Gadgets – mehr entstehen als nur ein Fehlerzustand. Im konkreten Fall wird die Schwachstelle als Fehler bei der Deserialisierung nicht vertrauenswürdiger Daten im Endpunkt /_trust/default.aspx beschrieben.
Technisch wird der Demonstrationscode in der Quelle als Kombination aus präparierter Binärnutzlast und einem gefälschten Authentifizierungs-Cookie dargestellt, eingebettet in eine WS-Federation-Anmeldeantwort. Wird dieser Token vom Server verarbeitet, kann ohne vorherige Authentifizierung beliebiger Programmcode über das Netzwerk ausgeführt werden. Diese Architektur-Schnittstelle ist für Unternehmen besonders brisant, weil sie typischerweise in bestehende Single-Sign-on-Prozesse und Vertrauensstellungen eingebettet ist. Wer dort nur auf “Patchen” setzt, ohne die Folgeebene wie Token- und Schlüsselmaterial mitzudenken, läuft Gefahr, dass ein Angreifer nach einem erfolgreichen ersten Zugriff weiterhin Türen offen hält.
Entsprechend lauten die empfohlenen Gegenmaßnahmen nicht nur “Updates installieren”, sondern auch “Zugangsinformationen und kryptografische Schlüssel erneuern”. Neben der Installation der aktuellen Sicherheitsupdates von Microsoft wird explizit das Erneuern aller Anmeldedaten und Schlüssel auf potenziell betroffenen Systemen angeraten. Für die Praxis heißt das: Die Teams müssen prüfen, welche SharePoint-Instanzen tatsächlich erreichbar waren, welche Versionen im Zeitraum vor und nach dem Juli-Update betrieben wurden und ob die Umgebung Anzeichen für Token-Ausstellung oder untypische Authentifizierungsereignisse zeigt. Gerade weil Maschinenschlüssel für die dauerhafte Zugriffs-Sicherung genutzt werden können, ist eine reine Systemneustart- oder Patch-Strategie ohne Rotationsprozess in der Regel unzureichend.
Strategisch rückt damit ein Thema in den Fokus, das in vielen Sicherheitskonzepten zwar adressiert wird, aber bei Incident-Response oft erst spät greift: die “Post-Exploitation”-Persistenz. Wenn Angreifer mithilfe gestohlener Schlüssel weiterhin gültige Token erzeugen, verschiebt sich der Schwerpunkt von der ursprünglichen Schwachstelle hin zu Identitäts- und Schlüsselmanagement. Für Unternehmen empfiehlt sich deshalb, Rotationsmaßnahmen eng mit Monitoring und Zugriffskontrollen zu verknüpfen und die Loglage für den relevanten Zeitraum zu prüfen. Die Meldung zeigt zugleich, wie stark die Verfügbarkeit von funktionsfähigem Demonstrationscode den Angriffszeitraum verkürzen kann – ein Grund, Patch-Fenster nicht nur technisch, sondern organisatorisch zu priorisieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SharePoint-Zugangsdaten erneuern: CVE-2026-50522 erlaubt Token-Entwendung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SharePoint-Zugangsdaten erneuern: CVE-2026-50522 erlaubt Token-Entwendung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SharePoint-Zugangsdaten erneuern: CVE-2026-50522 erlaubt Token-Entwendung« bei Google Deutschland suchen, bei Bing oder Google News!