📌 Sintesi Esecutiva

🚨 Punti Chiave

CVE-2026-50522 non è una normale voce di patch. È una RCE critica con segnalazioni pubbliche di exploit, stato KEV e furto osservato di chiavi macchina.

• Secondo le segnalazioni, gli attaccanti hanno abusato della vulnerabilità per ottenere le chiavi macchina di SharePoint.
• Le chiavi macchina rubate possono consentire token di autenticazione falsificati e accessi che potrebbero sopravvivere all'applicazione delle patch.
• L'applicazione delle patch chiude la vulnerabilità, ma i server esposti richiedono comunque attività di hunting e rotazione delle chiavi.
• I server SharePoint on-premises esposti a Internet devono essere trattati come rischio di emergenza.

🧭 Percorso di Attacco

flowchart TD
    A[Remote attacker] --> B[Reachable on-prem SharePoint]
    B --> C[Crafted request to sign-in/auth surface]
    C --> D[Unsafe deserialization]
    D --> E[Remote code execution]
    E --> F[Machine-key theft]
    F --> G[Forge auth tokens/cookies]
    G --> H[Impersonate users]
    H --> I[Access SharePoint sites and documents]
    F --> J[Persistence after patch if keys not rotated]

🧩 Versioni Interessate e Correzioni

🧠 Sintesi della Causa Radice

ZDI identifica l'area interessata nella classe SessionSecurityTokenHandler. Il difetto è causato da una validazione insufficiente dei dati forniti dall'utente, che consente una deserializzazione non sicura e l'esecuzione remota di codice nelle installazioni SharePoint interessate.

La segnalazione pubblica descrive un percorso PoC che coinvolge l'elaborazione del sign-in di SharePoint e /_trust/default.aspx. I dettagli implementativi esatti sono limitati perché il codice sorgente di SharePoint e il diff delle patch non sono pubblici.

🔥 Sintesi della Threat Intelligence

🕒 Cronologia dell'Indagine

timeline
    title CVE-2026-50522 Timeline
    2026-05-21 : Reported to vendor via ZDI/Pwn2Own path
    2026-07-14 : Microsoft advisory and patches released
    2026-07-15 : ZDI advisory published
    2026-07-17 : Exposure advisory and early exploitation reporting window
    2026-07-20 : Public PoC reportedly appears; exploitation observed within hours
    2026-07-22 : CISA adds CVE-2026-50522 to KEV
    2026-07-25 : CISA remediation due date
    2026-07-27 : Report finalized

🛠️ Piano d'Azione per i Difensori

Immediato — Prime 24 Ore

• Inventariare tutti i server SharePoint on-premises.
• Dare priorità alle farm esposte a Internet e accessibili ai partner.
• Applicare gli aggiornamenti SharePoint di Microsoft di luglio 2026.
• Verificare le build corrette su ogni membro della farm.
• Conservare i log IIS, ULS, WAF, Defender, Windows ed EDR.
• Cercare attività sospette su POST /_trust/default.aspx.
• Cercare w3wp.exe che genera strumenti da riga di comando.
• Cercare file nuovi/modificati .aspx, .ashx, .asmx, .dll e web.config.

Hardening — Prossimi 7 Giorni

• Abilitare/verificare l'integrazione AMSI per ogni applicazione web di SharePoint.
• Utilizzare Request Body Scan Full Mode dove fattibile.
• Rimuovere l'esposizione diretta a Internet.
• Posizionare SharePoint dietro un reverse proxy/WAF Layer 7 autenticato.
• Bloccare l'accesso esterno ad Amministrazione Centrale.
• Limitare le comunicazioni farm/database.
• Esaminare account di servizio, amministratori della farm, processi timer, attività pianificate e soluzioni della farm.
• Pianificare la migrazione da SharePoint 2016/2019 non supportati dove applicabile.

🔎 Idee di Rilevazione ad Alto Valore

Web / IIS / WAF

POST /_trust/default.aspx
AND request contains any of:
  SecurityContextToken
  BinaryFormatter
  AAEAAAD

Endpoint / EDR

Parent process: w3wp.exe
Child process: cmd.exe, powershell.exe, pwsh.exe, certutil.exe, bitsadmin.exe,
               mshta.exe, rundll32.exe, regsvr32.exe, cscript.exe, wscript.exe

Integrità dei File

Monitor:
C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\
C:\inetpub\wwwroot\wss\VirtualDirectories\

Alert on new or modified:
*.aspx, *.ashx, *.asmx, *.dll, web.config

Rilevazioni Microsoft Defender / AMSI dalle Linee Guida CISA

Exploit:Script/SuspSignoutReqBody.A
Exploit:Script/ToolPaneAuthBypass.A
Exploit:Script/ToolPaneAuthBypass.C
Backdoor:MSIL/LeakFang.A!dha

📊 Matrice dei Rischi

✅ Indicatori Verificati e Lacune

📚 Report Completo

Il report analitico dettagliato è disponibile in questo repository:

➡️ CVE-2026-50522_CTI_Report.md

Include:

• Dettagli ufficiali della CVE
• Validazione CPE
• Analisi della causa radice
• Valutazione della maturità dell'exploit
• Risultati della threat intelligence
• Tabella IOC
• Mappatura MITRE ATT&CK
• Idee Sigma
• Linee guida Wazuh
• Splunk SPL
• Microsoft Sentinel KQL
• Firme Snort/Suricata
• Valutazione del rischio
• Playbook di mitigazione
• Tabella della provenienza delle evidenze
• Assunzioni e limitazioni

🔗 Riferimenti Principali

• Microsoft Security Update Guide: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50522
• CVE.org: https://www.cve.org/CVERecord?id=CVE-2026-50522
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-50522
• CISA KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-50522
• ZDI-26-412: https://www.zerodayinitiative.com/advisories/ZDI-26-412/
• NHS England Alert: https://digital.nhs.uk/cyber-alerts/2026/cc-4818
• BleepingComputer: https://www.bleepingcomputer.com/news/security/critical-sharepoint-rce-flaw-exploited-to-steal-machine-keys/
• Censys Advisory: https://censys.com/advisory/cve-2026-50522-cve-2026-58644/