CVE-2026-50522 SharePoint RCE: Patch reicht nicht

CVE-2026-50522 SharePoint RCE ist jetzt die dritte aktiv ausgenutzte Remote-Code-Execution-Lücke in Microsofts On-Premises-Kollaborationsplattform innerhalb von drei Wochen — und diese lässt Angreifer kryptografische Machine Keys stehlen, die auch nach dem Patchen gültig bleiben. Wer SharePoint Server 2016, 2019 oder Subscription Edition On-Premises betreibt, für den ist Patchen nicht mehr der Schlusspunkt.

Was ist passiert

CVE-2026-50522 SharePoint RCE (CVSS 9.8) ist eine Deserialisierungs-Schwachstelle in On-Premises Microsoft SharePoint Server, veröffentlicht im Rahmen von Microsofts Rekord-Patchday im Juli 2026 mit 622 CVEs am 14. Juli. Betroffen sind SharePoint Enterprise Server 2016, SharePoint Server 2019 und SharePoint Server Subscription Edition. Ein nicht authentifizierter Angreifer, der einen einzelnen präparierten serialisierten Payload an einen verwundbaren Server sendet, kann Remote Code Execution auslösen — ohne Zugangsdaten, ohne Nutzerinteraktion.

Die Lücke blieb sechs Tage lang weitgehend unbeachtet. Am 20. Juli tauchte ein öffentlicher Proof-of-Concept-Exploit auf, und das globale Honeypot-Netzwerk der Offensive-Security-Firma watchTowr registrierte innerhalb weniger Stunden erfolgreiche Ausnutzungsversuche. Angreifer extrahieren mit einer einzigen HTTP-Anfrage SharePoints ASP.NET Machine Keys — die ValidationKey- und DecryptionKey-Werte, mit denen SharePoint Authentifizierungs-Tokens signiert und verschlüsselt. Sobald ein Angreifer diese Schlüssel besitzt, kann er gültige Authentifizierungs-Tokens für jeden beliebigen Nutzer fälschen und mit dessen Berechtigungen auf SharePoint-Seiten und -Dokumente zugreifen — vollständig unabhängig von der ursprünglichen Schwachstelle.

Dies ist die dritte SharePoint-Server-RCE mit bestätigter aktiver Ausnutzung innerhalb von drei Wochen: CVE-2026-56164 (CVSS 5.3) wurde bereits als Zero-Day vor dem Patch am 14. Juli ausgenutzt, und CVE-2026-58644 (CVSS 9.8) wurde am 16. Juli mit einer Bundesbehörden-Frist zum 19. Juli in den CISA-KEV-Katalog aufgenommen. CVE-2026-50522 war zum Zeitpunkt der Veröffentlichung trotz bestätigter aktiver Ausnutzung noch nicht formal in den CISA-KEV-Katalog aufgenommen.

Warum das wichtig ist

Der Diebstahl der Machine Keys ist der Teil, den CISOs nicht übersehen sollten: Ein gestohlenes ValidationKey-/DecryptionKey-Paar überlebt den Patch. Eine Organisation kann das Update vom 14. Juli einspielen, die CVE auf dem Papier als behoben bestätigen — und trotzdem einen Angreifer im System haben, der mit einem gefälschten, vollständig gültigen Authentifizierungs-Token durch die Vordertür läuft, weil niemand die vor dem Patch gestohlenen Schlüssel rotiert hat. Für den deutschen Mittelstand ist das relevant, weil On-Premises-SharePoint weit über das Großunternehmens-Segment hinaus verbreitet ist — Fertigung, Dienstleistungsunternehmen und öffentliche Stellen ohne Migration zu SharePoint Online sind alle betroffen, und Audit-/Compliance-Rahmenwerke (NIS2, ISO 27001 A.8.24) gehen in der Regel davon aus, dass „gepatcht“ auch „behoben“ bedeutet — was dieser Vorfall direkt widerlegt.

Was Sie jetzt tun sollten

1. Spielen Sie das Juli-2026-Kumulativ-Update für Ihre SharePoint-Version sofort ein, falls noch nicht geschehen — den passenden KB-Artikel für Ihren Build finden Sie in Microsofts CVE-2026-50522-Advisory.
2. Prüfen Sie Ihre Exponierung: Kontrollieren Sie IIS- und SharePoint-ULS-Logs auf ungewöhnliche POST-Anfragen an SharePoint-Diensteendpunkte um und nach dem 20. Juli sowie auf ausgehende Verbindungen, die nicht zum üblichen SharePoint-Verkehr passen.
3. Rotieren Sie die ASP.NET Machine Keys auf jeder On-Premises-SharePoint-Farm, unabhängig vom Patch-Datum — über den SharePoint Products Configuration Wizard oder PowerShell — und starten Sie danach IIS neu, damit bereits ausgestellte Tokens ungültig werden.
4. Aktivieren Sie den AMSI Full Request Body Scan Modus auf SharePoint-Frontend-Servern, falls noch nicht aktiv, und suchen Sie nach unerwarteten Dienstkonten, neuen Admin-Nutzern oder nach dem 20. Juli angelegten geplanten Aufgaben.

Wenn Sie nicht ausschließen können, dass Ihre Machine Keys jemals exponiert waren, behandeln Sie die Rotation als Pflichtschritt und nicht als Option — es gibt keine Möglichkeit, im Nachhinein festzustellen, ob ein bestimmter Server vor Beginn Ihres Monitorings betroffen war.

DIESEC Einschätzung

Das ist das Muster, das wir bei außenexponierten Enterprise-Plattformen immer wieder sehen: Die CVE bekommt die Schlagzeile, aber der Persistenzmechanismus — gestohlene Schlüssel, gefälschte Tokens, Backdoor-Konten — entscheidet tatsächlich darüber, ob ein Vorfall beendet ist. Drei SharePoint-RCEs in drei Wochen bedeuten auch drei separate Gelegenheiten für einen Angreifer, bereits eingedrungen zu sein, bevor Ihre Organisation überhaupt begonnen hat, diese spezifische CVE zu verfolgen.

Nicht sicher, ob die Machine Keys Ihrer SharePoint-Umgebung vor dem Patchen exponiert waren? Kontaktieren Sie DIESEC für eine schnelle SharePoint-Expositionsanalyse und Machine-Key-Rotationsprüfung.

Quellen: The Hacker News | BleepingComputer
Veröffentlicht: 2026-07-23 | Kategorie: Tägliche News | ~4 Min. Lesezeit