SharePoint unter Beschuss:
Vierte ausgenutzte Lücke in einem Monat

Nutzer von Microsofts SharePoint stehen aktuell heftig unter Beschuss. Aktuell wurde bereits der vierte Exploit binnen eines Monats bekannt, mit dem Angreifer Sicherheitslücken in dem System aktiv ausnutzen.

Langfristige Übernahme möglich

Jüngster Angriffspunkt ist eine Schwachstelle, die unter der Kennung CVE-2026-50522 verzeichnet ist und von Microsoft kürzlich mit einem Patch versorgt wurde, wie die SecurityWeek berichtet. Bekanntlich dauert es aber etwas, bis viele Nutzer die Aktualisierung in ihre Systeme einspielen. Nach Angaben Microsofts handelt es sich um eine Remote-Code-Execution-Lücke, die durch die Deserialisierung nicht vertrauenswürdiger Daten entsteht. Ein Angreifer, der mindestens über die Berechtigung eines Site Owners verfügt, kann demnach schädlichen Code auf einem SharePoint-Server einschleusen und aus der Ferne ausführen.

Erste Hinweise auf laufende Angriffe stammen vom Threat-Intelligence-Unternehmen Defused. Die Experten hatten bereits am 17. Juli über verdächtige Aktivitäten in ihren Honeypots berichtet und zunächst den Verdacht geäußert, dass eine bis dahin unbekannte Zero-Day-Schwachstelle angegriffen werde. In einer Aktualisierung vom 20. Juli kamen sie jedoch zu dem Schluss, dass es sich mit hoher Wahrscheinlichkeit um die inzwischen gepatchte Sicherheitslücke CVE-2026-50522 handelt.


Kurz nachdem Proof-of-Concept-Code für die Schwachstelle veröffentlicht worden war, bestätigte auch das Sicherheitsunternehmen WatchTowr aktive Angriffe. Nach dessen Erkenntnissen versuchen die Täter insbesondere, sogenannte Machine Keys von SharePoint-Systemen zu stehlen. Diese Schlüssel können dazu genutzt werden, sich langfristigen Zugriff auf kompromittierte Server zu sichern.

Patchen reicht nicht

Die Experten warnen deshalb davor, sich ausschließlich auf die Installation des Sicherheitsupdates zu verlassen. Organisationen, deren SharePoint-Server möglicherweise bereits Ziel eines Angriffs waren, sollten zusätzlich betroffene Zugangsdaten und kryptografische Schlüssel austauschen, um eine dauerhafte Kompromittierung auszuschließen.

Microsoft selbst hat seine Sicherheitswarnung bislang noch nicht um einen Hinweis auf die aktive Ausnutzung ergänzt. Dass eine entsprechende Bestätigung erst mit Verzögerung erfolgt, kommt nach Einschätzung von Sicherheitsexperten jedoch häufiger vor.

Die neue Schwachstelle reiht sich in eine Serie weiterer SharePoint-Probleme ein, deren Ausnutzung in den vergangenen Wochen bekannt geworden ist. Dazu zählen die Sicherheitslücken CVE-2026-58644, CVE-2026-56164 und CVE-2026-45659. Auch die US-amerikanische Cybersicherheitsbehörde CISA hatte zuletzt vor Angriffen auf SharePoint-Installationen gewarnt. In ihrem Katalog der "Known Exploited Vulnerabilities" (KEV) werden derzeit 13 aktiv ausgenutzte SharePoint-Schwachstellen geführt, darunter fünf, die erst in diesem Jahr aufgenommen wurden. Die nun betroffene Sicherheitslücke CVE-2026-50522 ist bislang noch nicht Teil dieser Liste.


Siehe auch: