Mehrere Sicherheitslücken in Microsoft SharePoint Server werden aktiv ausgenutzt, darunter die kritische Sicherheitslücke CVE-2026-50522
Zusammenfassung
Mehrere Schwachstellen, die Microsoft im aktuellen monatlichen Patch-Release behoben hat, werden bereits aktiv ausgenutzt. Dazu gehört auch die kritische SharePoint-Sicherheitslücke CVE-2026-50522. Ein öffentlich verfügbarer Exploit-Code für diese Schwachstelle ermöglicht es mit hoher Wahrscheinlichkeit einer Vielzahl von Bedrohungsakteuren, gezielt SharePoint-Server anzugreifen. Darüber hinaus werden mehrere weitere Schwachstellen in Microsoft SharePoint ebenfalls bereits aktiv ausgenutzt.
Es wird dringend empfohlen, die von Microsoft bereitgestellten Sicherheitsupdates oder Workarounds schnellstmöglich umzusetzen.
Das Bedrohungsniveau dieser Warnmeldung wurde auf 4 von 5 angehoben.
Was bedeutet das?
Nach Angaben von DefusedCyber und WatchTowr wird die kritische Schwachstelle CVE-2026-50522 in lokal betriebenen Microsoft SharePoint Server-Umgebungen (On-Premises) bereits aktiv von Bedrohungsakteuren ausgenutzt. Ursache ist eine unsichere Deserialisierung, die es einem Angreifer ermöglicht, remote beliebigen Code auf einem SharePoint-Server auszuführen.
Darüber hinaus hat die Zero Day Initiative (ZDI) entgegen früheren Berichten klargestellt, dass für die Ausnutzung dieser Schwachstelle keine Authentifizierung erforderlich ist. Erste Angriffe wurden kurz nach der Veröffentlichung eines öffentlichen Proof of Concept (PoC) beobachtet. Ziel der Angreifer ist es, anfällige Server zu kompromittieren und sogenannte Machine Keys zu extrahieren, die für einen langfristigen Zugriff genutzt werden können. DefusedCyber dokumentierte außerdem Angriffsversuche über einen .NET-Deserialisierungsvektor gegen einen SharePoint-Authentifizierungsendpunkt. Die beobachteten Anfragen erforderten keine Authentifizierung und bestätigen damit das von der ZDI beschriebene Angriffsszenario.
Der öffentlich verfügbare Proof of Concept nutzt eine Angriffskette, bei der ein manipuliertes .NET-Objekt mit einer BinaryFormatter-Nutzlast in ein gefälschtes SecurityContextToken eingebettet wird. Dieses wird über eine WS-Federation-Anmeldeantwort an den SharePoint-Endpunkt /_trust/default.aspx übermittelt. Verarbeitet der Server diese Daten und führt die Deserialisierung durch, kann die enthaltene Nutzlast die Ausführung eines Codes ermöglichen.
Angreifer nutzen diese Schwachstelle, um ASP.NET Machine Keys von SharePoint-IIS-Servern auszulesen. Mit diesen Keys lassen sich gültige Authentifizierungstoken erstellen. Dadurch können sich Angreifer als legitime Benutzer ausgeben und auf SharePoint-Websites, Dokumente sowie weitere Ressourcen zugreifen, für die die gefälschte Identität berechtigt ist. Zudem ermöglicht dies einen dauerhaften Zugriff auf die Umgebung, selbst nach der Installation des Sicherheitsupdates.
Auch die CISA berichtet, dass weitere SharePoint Server-Schwachstellen, darunter CVE-2026-32201, CVE-2026-45659 und CVE-2026-58644, bereits aktiv ausgenutzt werden.
- CVE-2026-32201 ist eine Schwachstelle aufgrund unzureichender Eingabevalidierung in Microsoft Office SharePoint. Sie ermöglicht es einem nicht authentifizierten Angreifer, sich als Benutzer im Netzwerk auszugeben und auf nicht autorisierte Daten zuzugreifen oder diese zu verändern.
- CVE-2026-45659 ist eine Schwachstelle, die es einem authentifizierten Angreifer mit der Berechtigung Website-Mitglied ermöglicht, über nicht näher spezifizierte Angriffsvektoren beliebigen Code auf einem SharePoint-Server auszuführen.
- CVE-2026-58644 ist eine Schwachstelle, die es einem Angreifer mit mindestens der Berechtigung Websitebesitzer ermöglicht, über nicht näher spezifizierte Angriffsvektoren beliebigen Code auf einem SharePoint-Server auszuführen.
- CVE-2026-56164 ist eine Schwachstelle aufgrund einer fehlenden Authentifizierungsprüfung. Sie kann über nicht näher spezifizierte Angriffsvektoren ausgenutzt werden, um Berechtigungen zu erweitern.
Das letzte Patch-Release enthält zudem weitere SharePoint-Schwachstellen, für die derzeit noch keine aktive Ausnutzung bekannt ist.
Handlungsempfehlungen
Wir empfehlen dringend, die von Microsoft bereitgestellten Sicherheitsupdates oder Workarounds schnellstmöglich umzusetzen. Die Schwere der Bedrohung wird auch dadurch deutlich, dass die CISA US-Bundesbehörden lediglich drei Tage Zeit eingeräumt hat, geeignete Maßnahmen zur Risikominimierung im Zusammenhang mit diesen SharePoint-Schwachstellen zu ergreifen.
Das Einspielen des Sicherheitsupdates allein ist jedoch nicht ausreichend, wenn betroffene Systeme bereits kompromittiert worden sein könnten. In diesem Fall sollten die betroffenen Server eingehend untersucht, potenziell kompromittierte Machine Keys sowie die dazugehörigen Zugangsdaten ausgetauscht und SharePoint-, IIS- sowie Systemprotokolle auf mögliche Kompromittierungsindikatoren (Indicators of Compromise, IoCs) überprüft werden.