Kritische SharePoint-Lücke wird aktiv ausgenutzt – Patch allein reicht nicht

Eine kritische Schwachstelle in on-premises Microsoft SharePoint Server (CVE-2026-50522, CVSS 9,8) wird derzeit aktiv angegriffen, nachdem am 20. Juli öffentlicher Exploit-Code aufgetaucht ist. Die Lücke beruht auf einer fehlerhaften Deserialisierung nicht vertrauenswürdiger Daten und lässt sich Berichten zufolge sogar ohne Authentifizierung und ohne Nutzerinteraktion auslösen.

Besonders brisant: Sicherheitsforscher von watchTowr beobachteten über ihr globales Honeypot-Netzwerk „Attacker Eye“, dass Angreifer innerhalb weniger Stunden nach Bekanntwerden des PoC-Codes erfolgreich Zielsysteme kompromittierten. Dabei geht es nicht nur um Codeausführung – die Angreifer stehlen in einem einzigen Request die SharePoint Machine Keys. Damit behalten sie sich dauerhaften Zugriff, selbst wenn das eigentliche Sicherheitsupdate später eingespielt wird.

Microsoft hat die Lücke im Juli-Patchday geschlossen. Wer SharePoint on-premises betreibt, sollte jedoch nicht nur patchen, sondern zusätzlich die Machine Keys und andere potenziell exponierte Zugangsdaten rotieren – reines Patchen greift hier zu kurz.