watchTowr zufolge begann die Ausnutzung von CVE-2026-50522 gegen anfällige lokale SharePoint-Bereitstellungen unmittelbar, nachdem öffentlich ein valider Proof of Concept verfügbar wurde. Das Unternehmen erklärt: „Am 20. Juli identifizierte watchTowr Proof-of-Concept-Exploit-Code für diese Schwachstelle. Innerhalb weniger Stunden erfasste unser globales Honeypot-Netzwerk Attacker Eye Ausnutzungsversuche mit diesem Proof of Concept, die Zielsysteme erfolgreich kompromittierten.“
Nach Angaben der Forscher stehlen die Angreifer dabei Machine Keys. Diese Schlüssel ermöglichen es ihnen, den Zugriff auf kompromittierten Systemen langfristig aufrechtzuerhalten. Wer in den Besitz dieser Schlüssel gelangt, kann gültige Authentifizierungs-Token erzeugen, um sich als Nutzer auszugeben und auf verfügbare Ressourcen wie SharePoint-Sites und Dokumente mit den Rechten der jeweiligen Identität zuzugreifen.
Microsoft beschreibt CVE-2026-50522 als Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten. Sie erlaubt einem entfernten Angreifer die Ausführung von Code über ein Netzwerk, ohne dass dafür eine Authentifizierung erforderlich ist. Behoben wurde der Fehler mit den SharePoint-Sicherheitsupdates dieses Monats. In der Sicherheitsmitteilung wurde die Lücke zwar nicht als bereits aktiv ausgenutzt gekennzeichnet, Microsoft vermerkte aber eine erhöhte Wahrscheinlichkeit, dass sie missbraucht wird.
Auch Defused hatte Angriffe bereits früher beobachtet. Das auf Frühwarn-Threat-Intelligence spezialisierte Unternehmen meldete, schon ab dem 17. Juli einen „nicht dokumentierten SharePoint-Deserialisierungsvektor“ in Angriffen gesehen zu haben, konnte die Aktivität zunächst jedoch keiner konkreten Schwachstelle zuordnen. Gestern erklärte Defused dann, die Angriffe seien wahrscheinlich auf die Ausnutzung der SharePoint-Lücke CVE-2026-50522 zurückzuführen.
Mindestens ein demonstrativer PowerShell-Exploit für CVE-2026-50522 ist auf GitHub verfügbar, veröffentlicht vom Sicherheitsforscher Janggggg. Der Proof of Concept versucht, Remotecodeausführung auszulösen, indem er eine bösartige .NET-BinaryFormatter-Nutzlast als Cookie eines gefälschten SecurityContextToken in einer an SharePoint gesendeten WS-Federation-Anmeldungsantwort an den Endpunkt /_trust/default.aspx übermittelt.
Wird das Token von einem anfälligen Deserialisierungspfad verarbeitet, führt die Nutzlast zu beliebiger Codeausführung auf dem SharePoint-Server. BleepingComputer hat den Proof of Concept nach eigenen Angaben nicht getestet, hält ihn jedoch strukturell und technisch für plausibel. Unklar bleibt allerdings, ob die von watchTowr beobachteten Vorfälle tatsächlich den öffentlich verfügbaren Exploit nutzten. Janggggg veröffentlichte den Proof of Concept am selben Tag, an dem watchTowr erste entsprechende Angriffe erkannte.
watchTowr weist darauf hin, dass die aktuellen SharePoint-Sicherheitsupdates zwar die Schwachstelle beseitigen, Verteidiger aber zusätzlich Anmeldedaten auf allen möglicherweise betroffenen Systemen austauschen sollten.