Wer noch einen eigenen SharePoint-Server im Haus betreibt, sollte jetzt alles stehen und liegen lassen. Seit dem 20. Juli kursiert ein öffentlicher Exploit für die Lücke CVE-2026-50522 — und Angreifer nutzen ihn bereits im großen Stil.
GEFAHR: Code-Ausführung ganz ohne Login
Die Schwachstelle steckt in der unsicheren Deserialisierung von Daten. Ein Angreifer schickt eine präparierte Anfrage an den Endpunkt /_trust/default.aspx — verpackt als gefälschtes Anmelde-Token. Verarbeitet der Server diese Daten, führt er fremden Code im Kontext des SharePoint-Dienstkontos aus. Und das komplett ohne gültiges Passwort. Der CVSS-Wert von 9.8 spricht für sich.
SCHOCK: Ein Patch allein reicht nicht
Das eigentlich Fiese: Die Angreifer stehlen in einer einzigen Anfrage die Machine-Keys des Servers. Mit diesen Schlüsseln können sie sich gültige Tokens selbst ausstellen — auch dann noch, wenn du die Lücke längst gepatcht hast. Genau deshalb warnen Sicherheitsforscher: Update einspielen ist Pflicht, aber nur der erste Schritt. Ohne einen Wechsel der Machine-Keys bleibt die Hintertür offen.
Beobachtet wird die Ausnutzung unter anderem von den Honeypot-Netzen des Sicherheitsteams watchTowr, das binnen Stunden nach Veröffentlichung des Proof-of-Concept erfolgreiche Angriffe registrierte. Ein funktionsfähiger PowerShell-Exploit des Forschers „Janggggg“ liegt öffentlich auf GitHub.
So schützt du deinen Server in 3 SCHRITTEN
1. Spiele den Sicherheitspatch aus dem Juli-Patchday ein — falls noch nicht geschehen, sofort. 2. Rotiere die Machine-Keys (ValidationKey und DecryptionKey) und starte danach die betroffenen Dienste neu. 3. Durchsuche die Logs nach verdächtigen POST-Anfragen an /_trust/default.aspx und prüfe auf neu angelegte Konten oder Webshells.
Wichtig: Betroffen sind ausschließlich selbst gehostete SharePoint-Server. Wer SharePoint über Microsoft 365 in der Cloud nutzt, muss hier nichts tun.
FAZIT
Ein öffentlicher Exploit plus Machine-Key-Diebstahl ist die gefährlichste Kombination, die man sich vorstellen kann — weil die Angreifer auch nach dem Patch drinbleiben können. Handle heute, nicht morgen.