Mit SharePoint CVE-2026-50522 ist eine weitere SharePoint-Server-Schwachstelle aus dem Juli-Patchday von Microsoft in aktive Angriffe geraten. Nachdem ein öffentlicher Proof-of-Concept aufgetaucht war, beobachtet das Sicherheitsteam von watchTowr laufende Angriffe gegen lokal betriebene SharePoint-Installationen. Wer On-Premises-SharePoint betreibt, sollte jetzt handeln – und zwar über das reine Einspielen des Patches hinaus.
Was SharePoint CVE-2026-50522 so gefährlich macht
Microsoft bewertet CVE-2026-50522 mit einem CVSS-Score von 9.8 als kritisch. Es handelt sich um eine unsichere Deserialisierung nicht vertrauenswürdiger Daten in Microsoft Office SharePoint, über die sich Schadcode aus der Ferne ausführen lässt. Der Angriffsvektor ist netzbasiert (AV:N) und aus dem Internet erreichbar, die Angriffskomplexität ist niedrig (AC:L). Microsoft stuft die Lücke als “Exploitation More Likely” ein; entdeckt und gemeldet wurde sie vom DEVCORE-Forscher “splitline”.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Ein Detail sorgt für Verwirrung: Microsoft formuliert im Advisory einen Angreifer “mit mindestens Site-Owner-Rechten”. Der veröffentlichte CVSS-Vektor weist die Lücke jedoch als ohne Vorrechte ausnutzbar aus (PR:N), und die real beobachteten Angriffe kommen laut Analysten ohne Authentifizierung aus. In der Praxis sollte man daher vom schlimmeren Fall ausgehen.
Patchen allein reicht nicht: Machine Keys rotieren
Der entscheidende Punkt für Administratoren: Ein eingespielter Patch schließt zwar die Lücke, hebt aber bereits gestohlene Zugangsdaten nicht auf. Laut watchTowr ziehen Angreifer über eine einzige Anfrage die SharePoint-Machine-Keys ab und sichern sich damit dauerhaften Zugriff. Deshalb gilt: Auf allen möglicherweise exponierten Systemen die Zugangsdaten und Machine Keys rotieren. Sonst bleibt der Angreifer trotz Patch im System.
Teil einer SharePoint-Angriffswelle – CISA warnt
CVE-2026-50522 reiht sich in eine ganze Welle von SharePoint-Angriffen ein. Zuvor wurden bereits CVE-2026-56164 (CVSS 5.3) und CVE-2026-58644 (CVSS 9.8) ausgenutzt – und zwar als echte Zero-Days, also schon bevor ein Patch verfügbar war. Anders als diese beiden wurde CVE-2026-50522 bereits mit dem Juli-Patchday geschlossen; die Angriffe begannen erst nach Veröffentlichung des öffentlichen PoC. Die US-Behörde CISA warnt inzwischen vor der gleichzeitigen Ausnutzung mehrerer SharePoint-Schwachstellen.
- Betroffen: alle unterstützten On-Premises-Versionen – SharePoint Server Subscription Edition, 2019 und 2016.
- Von CISA genannte CVEs: CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 und CVE-2026-58644.
- Beobachtete Aktivität: Remote Code Execution, Diebstahl von IIS-Machine-Keys und Deserialisierungs-Techniken zur Persistenz und Malware-Verteilung.
Was Admins jetzt tun sollten
Erstens: die verfügbaren Sicherheitsupdates für SharePoint zügig einspielen – CVE-2026-50522 wurde bereits mit dem Microsoft-Patchday im Juli 2026 adressiert. Zweitens: Machine Keys und Zugangsdaten rotieren, weil ein Patch abgeflossene Schlüssel nicht entwertet. Drittens: exponierte Systeme wie einen möglichen Vorfall behandeln, Logs sichern und nach ungewöhnlichen Dateien und Persistenz-Spuren suchen. Cloud-only-SharePoint über Microsoft 365 ist nach aktuellem Stand nicht betroffen – das Risiko liegt bei selbst betriebenen Servern am Netzrand.
Quellen
- Microsoft Security Response Center – CVE-2026-50522
- The Hacker News: Critical SharePoint RCE CVE-2026-50522 Under Active Exploitation After Public PoC
- CISA: Urges SharePoint Hardening After New Exploitations
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden