SharePoint CVE-2026-50522: Nach Public PoC aktiv ausgenutzt

Mit SharePoint CVE-2026-50522 ist eine weitere SharePoint-Server-Schwachstelle aus dem Juli-Patchday von Microsoft in aktive Angriffe geraten. Nachdem ein öffentlicher Proof-of-Concept aufgetaucht war, beobachtet das Sicherheitsteam von watchTowr laufende Angriffe gegen lokal betriebene SharePoint-Installationen. Wer On-Premises-SharePoint betreibt, sollte jetzt handeln – und zwar über das reine Einspielen des Patches hinaus.

Was SharePoint CVE-2026-50522 so gefährlich macht

Microsoft bewertet CVE-2026-50522 mit einem CVSS-Score von 9.8 als kritisch. Es handelt sich um eine unsichere Deserialisierung nicht vertrauenswürdiger Daten in Microsoft Office SharePoint, über die sich Schadcode aus der Ferne ausführen lässt. Der Angriffsvektor ist netzbasiert (AV:N) und aus dem Internet erreichbar, die Angriffskomplexität ist niedrig (AC:L). Microsoft stuft die Lücke als „Exploitation More Likely“ ein; entdeckt und gemeldet wurde sie vom DEVCORE-Forscher „splitline“.

Ein Detail sorgt für Verwirrung: Microsoft formuliert im Advisory einen Angreifer „mit mindestens Site-Owner-Rechten“. Der veröffentlichte CVSS-Vektor weist die Lücke jedoch als ohne Vorrechte ausnutzbar aus (PR:N), und die real beobachteten Angriffe kommen laut Analysten ohne Authentifizierung aus. In der Praxis sollte man daher vom schlimmeren Fall ausgehen.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Patchen allein reicht nicht: Machine Keys rotieren

Der entscheidende Punkt für Administratoren: Ein eingespielter Patch schließt zwar die Lücke, hebt aber bereits gestohlene Zugangsdaten nicht auf. Laut watchTowr ziehen Angreifer über eine einzige Anfrage die SharePoint-Machine-Keys ab und sichern sich damit dauerhaften Zugriff. Deshalb gilt: Auf allen möglicherweise exponierten Systemen die Zugangsdaten und Machine Keys rotieren. Sonst bleibt der Angreifer trotz Patch im System.

Teil einer SharePoint-Angriffswelle – CISA warnt

CVE-2026-50522 reiht sich in eine ganze Welle von SharePoint-Angriffen ein. Zuvor wurden bereits CVE-2026-56164 (CVSS 5.3) und CVE-2026-58644 (CVSS 9.8) ausgenutzt – und zwar als echte Zero-Days, also schon bevor ein Patch verfügbar war. Anders als diese beiden wurde CVE-2026-50522 bereits mit dem Juli-Patchday geschlossen; die Angriffe begannen erst nach Veröffentlichung des öffentlichen PoC. Die US-Behörde CISA warnt inzwischen vor der gleichzeitigen Ausnutzung mehrerer SharePoint-Schwachstellen.

• Betroffen: alle unterstützten On-Premises-Versionen – SharePoint Server Subscription Edition, 2019 und 2016.
• Von CISA genannte CVEs: CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 und CVE-2026-58644.
• Beobachtete Aktivität: Remote Code Execution, Diebstahl von IIS-Machine-Keys und Deserialisierungs-Techniken zur Persistenz und Malware-Verteilung.

Was Admins jetzt tun sollten

Erstens: die verfügbaren Sicherheitsupdates für SharePoint zügig einspielen – CVE-2026-50522 wurde bereits mit dem Microsoft-Patchday im Juli 2026 adressiert. Zweitens: Machine Keys und Zugangsdaten rotieren, weil ein Patch abgeflossene Schlüssel nicht entwertet. Drittens: exponierte Systeme wie einen möglichen Vorfall behandeln, Logs sichern und nach ungewöhnlichen Dateien und Persistenz-Spuren suchen. Cloud-only-SharePoint über Microsoft 365 ist nach aktuellem Stand nicht betroffen – das Risiko liegt bei selbst betriebenen Servern am Netzrand.

Quellen

• Microsoft Security Response Center – CVE-2026-50522
• The Hacker News: Critical SharePoint RCE CVE-2026-50522 Under Active Exploitation After Public PoC
• CISA: Urges SharePoint Hardening After New Exploitations