📌 Kurzüberblick

🚨 Wichtigste Erkenntnisse

CVE-2026-50522 ist kein Routine-Patching-Thema. Es handelt sich um eine kritische RCE mit öffentlicher Exploit-Berichterstattung, KEV-Status und beobachtetem Diebstahl von Maschinenschlüsseln.

• Angreifer haben die Schwachstelle Berichten zufolge ausgenutzt, um SharePoint-Maschinenschlüssel zu erlangen.
• Gestohlene Maschinenschlüssel können gefälschte Authentifizierungstoken und Zugriff ermöglichen, der das Patchen überdauern kann.
• Das Patchen schließt die Sicherheitslücke, aber exponierte Server erfordern weiterhin Hunting und Schlüsselrotation.
• Internet-erreichbare lokale SharePoint-Server sollten als Notfallrisiko behandelt werden.

🧭 Angriffspfad

flowchart TD
    A[Remote attacker] --> B[Reachable on-prem SharePoint]
    B --> C[Crafted request to sign-in/auth surface]
    C --> D[Unsafe deserialization]
    D --> E[Remote code execution]
    E --> F[Machine-key theft]
    F --> G[Forge auth tokens/cookies]
    G --> H[Impersonate users]
    H --> I[Access SharePoint sites and documents]
    F --> J[Persistence after patch if keys not rotated]

🧩 Betroffene Versionen und Fixes

🧠 Zusammenfassung der Grundursache

ZDI identifiziert den betroffenen Bereich als die Klasse SessionSecurityTokenHandler. Die Schwachstelle wird durch eine unzureichende Validierung benutzergesteuerter Daten verursacht, was in betroffenen SharePoint-Installationen eine unsichere Deserialisierung und Remote-Codeausführung ermöglicht.

Öffentliche Berichte beschreiben einen PoC-Pfad über die SharePoint-Anmeldeverarbeitung und /_trust/default.aspx. Genaue Implementierungsdetails sind begrenzt, da der SharePoint-Quellcode und der Patch-Diff nicht öffentlich sind.

🔥 Threat-Intelligence-Zusammenfassung

🕒 Untersuchungs-Zeitleiste

timeline
    title CVE-2026-50522 Timeline
    2026-05-21 : Reported to vendor via ZDI/Pwn2Own path
    2026-07-14 : Microsoft advisory and patches released
    2026-07-15 : ZDI advisory published
    2026-07-17 : Exposure advisory and early exploitation reporting window
    2026-07-20 : Public PoC reportedly appears; exploitation observed within hours
    2026-07-22 : CISA adds CVE-2026-50522 to KEV
    2026-07-25 : CISA remediation due date
    2026-07-27 : Report finalized

🛠️ Maßnahmenplan für Verteidiger

Sofort — Erste 24 Stunden

• Alle lokalen SharePoint-Server inventarisieren.
• Internet- und partnerzugängliche Farmen priorisieren.
• Die Microsoft-SharePoint-Updates vom Juli 2026 anwenden.
• Die gepatchten Builds auf jedem Farm-Mitglied verifizieren.
• IIS-, ULS-, WAF-, Defender-, Windows- und EDR-Protokolle sichern.
• Nach verdächtiger POST /_trust/default.aspx-Aktivität suchen.
• Nach w3wp.exe suchen, das Befehlszeilenprogramme startet.
• Nach neuen oder geänderten .aspx-, .ashx-, .asmx-, .dll- und web.config-Dateien suchen.

Härtung — Nächste 7 Tage

• AMSI-Integration für jede SharePoint-Webanwendung aktivieren bzw. verifizieren.
• Wo möglich den vollständigen Anforderungstext-Scanmodus (Request Body Scan Full Mode) verwenden.
• Direkte Internet-Exposition entfernen.
• SharePoint hinter einem authentifizierten Layer-7-Reverse-Proxy bzw. einer WAF platzieren.
• Externen Zugriff auf die Zentraladministration blockieren.
• Farm- und Datenbankkommunikation einschränken.
• Dienstkonten, Farm-Administratoren, Zeitgeberaufträge, geplante Aufgaben und Farmlösungen überprüfen.
• Wo zutreffend, die Migration weg von nicht mehr unterstütztem SharePoint 2016/2019 planen.

🔎 Hochwertige Erkennungsideen

Web / IIS / WAF

POST /_trust/default.aspx
AND request contains any of:
  SecurityContextToken
  BinaryFormatter
  AAEAAAD

Endpunkt / EDR

Parent process: w3wp.exe
Child process: cmd.exe, powershell.exe, pwsh.exe, certutil.exe, bitsadmin.exe,
               mshta.exe, rundll32.exe, regsvr32.exe, cscript.exe, wscript.exe

Dateiintegrität

Monitor:
C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\
C:\inetpub\wwwroot\wss\VirtualDirectories\

Alert on new or modified:
*.aspx, *.ashx, *.asmx, *.dll, web.config

Microsoft-Defender-/AMSI-Erkennungen aus der CISA-Anleitung

Exploit:Script/SuspSignoutReqBody.A
Exploit:Script/ToolPaneAuthBypass.A
Exploit:Script/ToolPaneAuthBypass.C
Backdoor:MSIL/LeakFang.A!dha

📊 Risikomatrix

✅ Verifizierte Indikatoren und Lücken

📚 Vollständiger Bericht

Der ausführliche Analystenbericht ist in diesem Repository verfügbar:

➡️ CVE-2026-50522_CTI_Report.md

Er enthält:

• Offizielle CVE-Details
• CPE-Validierung
• Grundursachenanalyse
• Bewertung der Exploit-Reife
• Threat-Intelligence-Erkenntnisse
• IOC-Tabelle
• MITRE-ATT&CK-Zuordnung
• Sigma-Ideen
• Wazuh-Anleitung
• Splunk-SPL
• Microsoft-Sentinel-KQL
• Snort-/Suricata-Signaturen
• Risikobewertung
• Playbook zur Schadensbegrenzung
• Tabelle zur Herkunft der Beweise
• Annahmen und Einschränkungen

🔗 Primärreferenzen

• Microsoft Security Update Guide: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50522
• CVE.org: https://www.cve.org/CVERecord?id=CVE-2026-50522
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-50522
• CISA KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-50522
• ZDI-26-412: https://www.zerodayinitiative.com/advisories/ZDI-26-412/
• NHS England Alert: https://digital.nhs.uk/cyber-alerts/2026/cc-4818
• BleepingComputer: https://www.bleepingcomputer.com/news/security/critical-sharepoint-rce-flaw-exploited-to-steal-machine-keys/
• Censys Advisory: https://censys.com/advisory/cve-2026-50522-cve-2026-58644/