SharePoint-RCE-Schwachstelle wird zum Diebstahl von Machine Keys ausgenutzt

Angreifer nutzen eine kritische SharePoint-RCE-Schwachstelle aktiv aus, um Machine Keys von verwundbaren lokalen SharePoint-Servern zu stehlen. Die als CVE-2026-50522 geführte Schwachstelle kann Cyberkriminellen einen dauerhaften Zugang zu kompromittierten Umgebungen verschaffen.

Microsoft hat die Sicherheitslücke mit den Sicherheitsupdates vom Juli geschlossen. Sicherheitsforscher berichten jedoch inzwischen über Angriffe auf ungepatchte SharePoint-Installationen.

Die Angriffe bergen ein erhebliches Risiko für dauerhaften Zugriff. Selbst nachdem eine Organisation das Update installiert hat, können gestohlene Machine Keys den Angreifern weiterhin den Zugang zu betroffenen Systemen ermöglichen.

Angreifer können Authentifizierungstokens fälschen

CVE-2026-50522 ist eine Deserialisierungsschwachstelle, die auf der Verarbeitung nicht vertrauenswürdiger Daten basiert. Ein nicht authentifizierter Angreifer kann die Schwachstelle über das Netzwerk ausnutzen und auf einem verwundbaren Server beliebigen Code aus der Ferne ausführen.

Laut den Forschern haben es die Angreifer nach dem ersten Zugriff gezielt auf Machine Keys abgesehen. Mit diesen Schlüsseln können sie gültige Authentifizierungstokens erstellen.

Dadurch können sich die Angreifer als legitime Benutzer ausgeben. Anschließend erhalten sie Zugriff auf SharePoint-Websites, Dokumente und andere Ressourcen, auf die das gefälschte Benutzerkonto zugreifen darf.

Das Ausmaß des Zugriffs hängt von den Berechtigungen der imitierten Identität ab. Handelt es sich um ein Konto mit hohen Rechten, könnten sensible Unternehmensdaten und interne Systeme offengelegt werden.

Angriffe begannen kurz nach Veröffentlichung des PoC

Sicherheitsteams beobachteten erste Angriffsversuche bereits wenige Stunden nach der Veröffentlichung eines Proof-of-Concepts. Die Aktivitäten richteten sich gegen verwundbare lokale SharePoint-Umgebungen.

Bereits einige Tage zuvor hatten Forscher eine ungewöhnliche Deserialisierungstechnik in SharePoint entdeckt. Zunächst konnten sie die Angriffe jedoch keiner bekannten Schwachstelle zuordnen.

Später kamen sie zu dem Schluss, dass CVE-2026-50522 wahrscheinlich hinter den Aktivitäten steckt. Dies deutet darauf hin, dass Angreifer mögliche Angriffspfade bereits testeten, bevor der öffentliche Exploit verfügbar wurde.

Eine öffentlich verfügbare Demonstration zeigt, wie sich die Schwachstelle ausnutzen lässt. Dabei wird eine gefälschte Anmeldeantwort mit einer schädlichen .NET-Payload an einen SharePoint-Endpunkt gesendet.

Verarbeitet ein verwundbarer Server das Token über den betroffenen Deserialisierungspfad, kann die Payload eine Remote-Code-Ausführung auslösen. Die Angreifer können anschließend Befehle auf dem Server ausführen, ohne über gültige Anmeldedaten zu verfügen.

Patchen allein beseitigt den Zugriff möglicherweise nicht

Die Installation der Microsoft-Sicherheitsupdates vom Juli behebt die SharePoint-RCE-Schwachstelle. Dennoch reicht das Einspielen des Patches möglicherweise nicht aus, wenn Angreifer bereits Machine Keys gestohlen haben.

Organisationen sollten daher Anmeldeinformationen und Schlüssel auf möglicherweise betroffenen Systemen austauschen. Außerdem sollten sie ungewöhnliche Authentifizierungsaktivitäten untersuchen und die Zugriffe auf SharePoint-Dienste überprüfen.

Sicherheitsteams sollten internetexponierte SharePoint-Server priorisieren. Darüber hinaus sollten sie nach verdächtigen Anmeldeereignissen, ungewöhnlicher Token-Aktivität und unerklärlichen administrativen Änderungen suchen.

Fazit

Die SharePoint-RCE-Schwachstelle stellt ein akutes Risiko für Organisationen dar, die verwundbare lokale SharePoint-Server betreiben. Schnelles Patchen ist entscheidend, doch die Reaktion auf den Vorfall darf dort nicht enden. Unternehmen sollten potenziell kompromittierte Anmeldedaten und Schlüssel austauschen sowie prüfen, ob Angreifer weiterhin Zugriff auf ihre Systeme haben.