CVE-2026-50522
Microsoft SharePoint Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2026-50522 ist eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten in Microsoft Office SharePoint, die einem nicht autorisierten Angreifer die Codeausführung über das Netzwerk erlaubt. Die Bewertung liegt bei CVSS 9.8 (Kritisch); die Lücke benötigt weder Zugangsdaten noch Benutzerinteraktion: Ein manipulierter serialisierter Payload, der an einen verwundbaren SharePoint-Server gesendet wird, wird zu Objekten rekonstruiert, die eine Codeausführung im Kontext der Anwendung auslösen. Betroffen sind Microsoft SharePoint Server 2016, 2019 sowie Builds vor 16.0.19725.20434, also On-Premises-Farmen, die häufig die sensibelsten Dokumente einer Organisation vorhalten. Der EPSS-Wert von 63 % stellt CVE-2026-50522 in das 99. Perzentil der Ausnutzungswahrscheinlichkeit, und CISA hat die Schwachstelle mit Frist 25.07.2026 in den KEV-Katalog aufgenommen — diese SharePoint-Schwachstelle wird also aktiv ausgenutzt und wird mit hoher Wahrscheinlichkeit weiter angegriffen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | sharepoint server | < 16.0.19725.20434; 2016; 2019 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50522(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-50522(US Government Resource)
Schwachstellentyp
CWE-502: Deserialisierung nicht vertrauenswürdiger Daten
Deserialisierung nicht vertrauenswürdiger Daten tritt auf, wenn eine Anwendung Objekte aus serialisierten Daten einer nicht vertrauenswürdigen Quelle rekonstruiert, ohne ausreichend zu prüfen, ob das Ergebnis gültig und sicher ist. In Microsoft SharePoint nimmt der verwundbare Codepfad angreiferkontrollierte serialisierte Eingaben über das Netzwerk an, und während der Rekonstruktion kann der Angreifer beliebige Typen instanziieren und gefährliche Operationen auslösen lassen — in einer .NET-Anwendung wird so aus einem Datenverarbeitungsschritt eine Remote Code Execution auf dem Server.
Mehr erfahren: CWE-502 — Deserialisierung nicht vertrauenswürdiger Daten
Auswirkungsanalyse
CVE-2026-50522 hat einen CVSS-3.1-Basiswert von 9.8 (Kritisch), wobei jede Ausnutzbarkeitsmetrik im schlechtesten Zustand ist: aus der Ferne ohne physischen Zugriff ausnutzbar, leicht auszunutzen ohne besondere Voraussetzungen, ohne Authentifizierung und ohne Benutzerinteraktion. Vertraulichkeit (Hoch): Codeausführung auf einem SharePoint-Server legt Dokumentbibliotheken, Website-Inhalte, Dienstkonto-Zugangsdaten und Konfigurationsdaten der Farm offen. Integrität (Hoch): Der Angreifer kann Inhalte und Code verändern oder einbringen, wodurch eine vertrauenswürdige Kollaborationsplattform zum Auslieferungskanal für die nächste Angriffsstufe wird. Verfügbarkeit (Hoch): Derselbe Zugriff erlaubt es, den SharePoint-Dienst zu stören oder abzuschalten, von dem interne Geschäftsprozesse abhängen. Der EPSS-Wert von 63 % (99,1. Perzentil) zeigt eine hohe Wahrscheinlichkeit aktiver Ausnutzung, und der CISA-KEV-Eintrag bestätigt, dass sie bereits stattfindet. Da SharePoint-Server für die externe Zusammenarbeit oft aus dem Internet erreichbar sind und Daten aus dem gesamten Unternehmen enthalten, ist eine ungepatchte Farm sowohl ein unmittelbares Datenschutzrisiko als auch ein starker Sprungpunkt in die weitere Windows-Umgebung.
Exploit-Reifegrad
CVE-2026-50522 steht mit Behebungsfrist 25.07.2026 im CISA-Katalog der Known Exploited Vulnerabilities, was aktive Ausnutzung in freier Wildbahn bestätigt; ein Einsatz durch Ransomware ist derzeit als unbekannt eingestuft. In den vorliegenden Referenzen ist kein öffentlicher Exploit-Code verlinkt — veröffentlicht sind das Microsoft-Advisory und der CISA-KEV-Eintrag —, doch der EPSS-Wert von 63 % (99,1. Perzentil) bedeutet, dass mit anhaltender und breiterer Ausnutzungsaktivität zu rechnen ist, ein deutlich stärkeres Signal als bei den meisten KEV-Einträgen. Nicht authentifizierte Deserialisierungs-Schwachstellen in SharePoint werden erfahrungsgemäß schnell waffenfähig gemacht und über verschiedene Angreifergruppen hinweg wiederverwendet, sobald der verwundbare Endpunkt öffentlich bekannt ist. Die praktische Antwort auf „muss ich jetzt handeln" lautet daher ja: auf Build 16.0.19725.20434 oder neuer patchen und die Farm auf Spuren einer früheren Kompromittierung prüfen, statt anzunehmen, der Patch schließe eine bereits genutzte Tür.
Behebung
- Befolgen Sie die von CISA im KEV-Katalog geforderte Maßnahme: Mitigationen gemäß Herstelleranweisungen anwenden, unter Einhaltung der BOD-26-04-Vorgaben zur risikobasierten Patch-Priorisierung und der „Forensics Triage Requirements" von CISA — oder den Einsatz des Produkts einstellen, falls keine Mitigationen verfügbar sind. Die KEV-Frist ist der 25.07.2026.
- Installieren Sie das Microsoft-Sicherheitsupdate aus dem MSRC-Advisory zu CVE-2026-50522. Bringen Sie SharePoint Server auf Build 16.0.19725.20434 oder neuer und spielen Sie die entsprechenden Updates für SharePoint Server 2016 und SharePoint Server 2019 ein; prüfen Sie nach dem Patchen die Build-Nummer, statt sich auf die Update-Historie zu verlassen.
- Verringern Sie die Exponierung, bis jeder Farm-Server gepatcht ist: direkte Internet-Veröffentlichung von SharePoint-Webanwendungen entfernen, Zugriff nur über VPN oder einen authentifizierenden Reverse Proxy erlauben und die SharePoint-Schicht von nicht vertrauenswürdigen Netzsegmenten sowie von fachfremden internen Systemen segmentieren.
- Führen Sie auf allen SharePoint-Servern die von CISA geforderte forensische Triage durch: IIS- und SharePoint-ULS-Logs auf anomale POST-Anfragen an Service-Endpunkte prüfen, nach unerwarteten Kindprozessen der Anwendungspool-Identität suchen und die Web-Verzeichnisse auf neu angelegte Dateien oder Webshells durchsuchen, da die Ausnutzung in freier Wildbahn bestätigt ist.
- Zur langfristigen Härtung gegen Deserialisierungs-Schwachstellen (CWE-502): Endpunkte vermeiden, die nicht vertrauenswürdige Eingaben deserialisieren, für den Datenaustausch textbasierte Formate wie JSON gegenüber binärer Serialisierung bevorzugen, Integritätsprüfungen wie HMAC oder digitale Signaturen für serialisierte Daten erzwingen und die Deserialisierung per Allowlist auf erwartete Typen begrenzen.
Technische Details
Ursache von CVE-2026-50522 ist eine unsichere Deserialisierung in Microsoft Office SharePoint (CWE-502): Die Anwendung rekonstruiert Objekte aus serialisierten Daten, die ein Angreifer über das Netzwerk liefern kann, ohne ausreichend zu validieren, ob der entstehende Objektgraph sicher materialisiert werden kann. Angreifer, die serialisierte Daten kontrollieren, können diese so manipulieren, dass beliebige Objekte instanziiert, bösartige Eigenschaftswerte gesetzt oder während der Deserialisierung gefährliche Operationen ausgelöst werden — in .NET-basierten Produkten münden diese Gadget-Ketten typischerweise in beliebiger Codeausführung unter der Identität des Anwendungspools. Der Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H erklärt den Wert 9.8: Der Payload kommt über das Netzwerk (AV:N), erfordert keine besonderen Voraussetzungen (AC:L), keine Rechte (PR:N) und keine Benutzerinteraktion (UI:N), während Vertraulichkeit, Integrität und Verfügbarkeit des SharePoint-Servers vollständig betroffen sind. Der Scope bleibt unverändert (S:U), CVSS ordnet den Schaden also der verwundbaren Komponente selbst zu — ein SharePoint-Server, der mit einem Dienstkonto im Active Directory authentifiziert ist, bietet einem Angreifer jedoch einen naheliegenden Weg zur Lateralbewegung.
Häufig gestellte Fragen
Wird CVE-2026-50522 aktiv ausgenutzt?
Ja. CVE-2026-50522 steht im CISA-Katalog der Known Exploited Vulnerabilities, was Ausnutzung in freier Wildbahn bestätigt; die behördliche Behebungsfrist ist der 25.07.2026. Der EPSS-Wert von 63 % entspricht dem 99. Perzentil der Ausnutzungswahrscheinlichkeit, weitere Angriffe sind also sehr wahrscheinlich; ein Einsatz durch Ransomware ist derzeit als unbekannt eingestuft.
Welche Produkte sind von CVE-2026-50522 betroffen?
Betroffen ist Microsoft SharePoint Server, konkret SharePoint Server 2016, SharePoint Server 2019 sowie Builds vor Version 16.0.19725.20434. Jede On-Premises-SharePoint-Farm sollte anhand ihrer Build-Nummer geprüft werden, denn der Fehler liegt in der Deserialisierungsverarbeitung des Produkts und nicht in einer bestimmten optionalen Funktion.
Wie behebe ich CVE-2026-50522?
Installieren Sie das Microsoft-Sicherheitsupdate aus dem MSRC Update Guide zu CVE-2026-50522 und bringen Sie SharePoint Server auf Build 16.0.19725.20434 oder neuer beziehungsweise auf den entsprechenden gepatchten Build für SharePoint Server 2016 und 2019. Bis alle Farm-Server aktualisiert sind, sollten Sie den Internetzugriff auf SharePoint-Webanwendungen einschränken und IIS- sowie ULS-Logs auf Ausnutzungsspuren prüfen.
Wie schwerwiegend ist CVE-2026-50522?
CVE-2026-50522 ist mit einem CVSS-3.1-Basiswert von 9.8 als Kritisch eingestuft. Die Lücke erlaubt nicht authentifizierte Remote Code Execution mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit, und die Kombination aus einem EPSS-Wert im 99. Perzentil und dem CISA-KEV-Eintrag zeigt, dass es sich nicht um ein theoretisches, sondern um ein aktiv ausgenutztes Risiko handelt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.