Auf den Punkt: Angreifer entwenden via CVE-2026-50522 Maschinenschlüssel aus SharePoint-Servern, um auch nach dem Patchen gültige Authentifizierungs-Token zu erstellen und persistenten Zugriff zu sichern.
Unmittelbar nach Veröffentlichung eines funktionsfähigen Exploit-Codes für CVE-2026-50522 greifen Angreifer auf lokale SharePoint-Installationen an. Sicherheitsforscher beobachteten die ersten erfolgreichen Kompromittierungen wenige Stunden nach Publikation des Proof-of-Concept.
Microsoft schloss die kritische Schwachstelle CVE-2026-50522 im Juli 2026 ein. watchTowr identifizierte am 20. Juli 2026 öffentlich verfügbaren Proof-of-Concept-Code für die Lücke. Innerhalb von Stunden meldete das globale Honeypot-Netzwerk von watchTowr erfolgreiche Ausnutzungsversuche, die Zielsysteme kompromittierten. Das Unternehmen Defused registrierte bereits am 17. Juli verdächtige Deserialisierungs-Aktivitäten gegen SharePoint-Systeme.
Der Angriff nutzt einen Deserialisierungsfehler im Endpunkt /_trust/default.aspx. Der öffentliche Exploit-Code präpariert eine Binärnutzlast in einem gefälschten Authentifizierungs-Cookie einer WS-Federation-Anmeldeantwort. Wird dieser Token vom Server verarbeitet, führt er beliebigen Programmcode aus – ohne dass Authentifizierung erforderlich ist. Das technische Risiko für Unternehmen liegt in der unmittelbaren Ausnutzbarkeit ohne Vorbedingungen.
Das Geschäftsmodell der Angreifer besteht darin, aus kompromittierten SharePoint-Servern Maschinenschlüssel zu entwenden. Mit diesen Schlüsseln können die Akteure gültige Authentifizierungs-Token erstellen und sich als legitime Benutzer authentifizieren. Dies ermöglicht ihnen Zugriff auf SharePoint-Webseiten und Dokumente auch nach dem Patchen der Schwachstelle – solange die kompromittierten Schlüssel nicht erneuert werden. Die Persistenz entsteht also durch Offline-Kompromittierung von kryptografischen Materialien.
Microsoft hat die Sicherheitsupdates im Juli 2026 veröffentlicht. Sicherheitsexperten empfehlen CISOs zusätzlich zum Patch das sofortige Erneuern aller Anmeldedaten und Schlüssel auf potenziell betroffenen SharePoint-Systemen – insbesondere der Maschinenschlüssel, die von Angreifern extrahiert wurden. Diese Maßnahme ist erforderlich, um persistente Token-basierte Zugriffe zu invalidieren.
Quelle: www.it-daily.net · Erschienen 23. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.