Microsoft beschreibt CVE-2026-50522 als kritische Schwachstelle zur Deserialisierung nicht vertrauenswürdiger Daten in Microsoft Office SharePoint. Laut dem in der vergangenen Woche veröffentlichten Hinweis kann bei einem netzbasierten Angriff ein Angreifer, der mindestens als Site Owner authentifiziert ist, beliebigen Code schreiben, einschleusen und aus der Ferne auf dem SharePoint-Server ausführen. Der Angriffsvektor sei Netzwerk-basiert, die Komplexität niedrig, da kein nennenswertes Vorwissen über das System nötig sei und sich mit der Nutzlast wiederholt Erfolge gegen die betroffene Komponente erzielen ließen.
watchTowr teilte auf LinkedIn mit, aktive Ausnutzung der Schwachstelle in lokalen Microsoft-SharePoint-Bereitstellungen festgestellt zu haben. Auslöser sei die Veröffentlichung eines öffentlichen Proof-of-Concept-Exploits gewesen. Nach Angaben des Sicherheitsanbieters können Angreifer darüber Maschinenschlüssel stehlen, um dauerhaften Zugriff aufrechtzuerhalten. „Angreifer ziehen SharePoint-Maschinenschlüssel mit einer einzigen Anfrage ab“, erklärte das Unternehmen. „Ein Patch allein reicht nicht aus; Verteidiger sollten Anmeldedaten auf allen Systemen rotieren, die exponiert gewesen sein könnten.“
Defused Cyber veröffentlichte zudem Hinweise darauf, dass Bedrohungsakteure CVE-2026-50522 wahrscheinlich ausnutzen, um eine .NET-Deserialisierungs-Nutzlast an einen SharePoint-Anmeldeendpunkt zu senden. Den Angaben zufolge enthielten die erfassten Anfragen keine Authentifizierungsdaten, was zum nicht authentifizierten Profil von 50522 passe.
CVE-2026-50522 ist bereits die dritte SharePoint-Server-Schwachstelle mit beobachteten Ausnutzungsversuchen. Zuvor waren bereits CVE-2026-56164 mit einem CVSS-Wert von 5,3 und CVE-2026-58644 mit 9,8 betroffen. Diese beiden Lücken wurden noch vor ihrer Behebung in Juli 2026 als Zero-Days bewaffnet.
Auch die U.S. Cybersecurity and Infrastructure Security Agency warnt inzwischen vor der Ausnutzung mehrerer SharePoint-Server-Schwachstellen. CISA nennt dabei CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 und CVE-2026-58644. Laut der Behörde nutzen Angreifer diese Lücken, um unbefugten Zugriff auf lokale Instanzen zu erlangen.
Nach Angaben von CISA betreffen die Schwachstellen alle unterstützten lokalen Versionen von SharePoint Server, also Subscription Edition, 2019 und 2016. Die Behörde beschreibt dabei eine Kette aus Remotecodeausführung und nachgelagerten Aktivitäten nach der Kompromittierung, darunter den Diebstahl von Internet Information Services-IIS-Maschinenschlüsseln sowie den Einsatz von Deserialisierungstechniken, um Persistenz zu erreichen und Schadsoftware bereitzustellen.