Kritische Schwachstelle in Microsoft SharePoint (CVE-2026-50522): Was tun, wenn Ihr Unternehmen es nutzt

Kritische Schwachstelle in Microsoft SharePoint (CVE-2026-50522): Was tun, wenn Ihr Unternehmen es nutzt

Kurz gefasst

CVE-2026-50522 ist eine kritische Schwachstelle mit einem CVSS-Wert von 9.8 von 10 [1], die Microsoft Office SharePoint betrifft. Sie beruht auf einer Deserialisierung nicht vertrauenswürdiger Daten, die es einem nicht authentifizierten Angreifer ermöglicht, aus der Ferne über das Netzwerk Code auszuführen [1]. Sie wurde am 14. Juli 2026 veröffentlicht [1] und ist im Katalog bekannter ausgenutzter Schwachstellen (KEV) von CISA gelistet [2], was bestätigt, dass sie bereits bei realen Angriffen eingesetzt wird und nicht nur in Labortests. Wenn SharePoint in Ihrer Organisation im Einsatz ist, besteht der heutige Schritt darin, zu ermitteln, welche Instanzen aktiv sind und in welchem Aktualisierungsstatus sie sich befinden, sowie die Anwendung der entsprechenden Microsoft-Patches zu priorisieren.

Was es ist und warum es wichtig ist

Eine „unsichere Deserialisierung" liegt vor, wenn eine Anwendung Objekte aus Daten rekonstruiert, die von außen kommen, ohne deren Herkunft oder Inhalt ausreichend zu überprüfen. Gelingt es einem Angreifer, diese Daten zu manipulieren, kann er den Server dazu bringen, in seinem Namen beliebige Anweisungen auszuführen. Im Fall von CVE-2026-50522 bedeutet dies eine Remotecodeausführung auf SharePoint durch einen nicht authentifizierten Angreifer, also ohne dass gültige Anmeldedaten erforderlich sind [1].

Die Kombination aus drei Faktoren erklärt den Schweregrad: Es handelt sich um ein in Unternehmensumgebungen weit verbreitetes Kollaborationsprodukt, der Schweregrad-Wert ist praktisch der höchstmögliche (9.8, von NVD als „kritisch" eingestuft) [1], und laut der KEV-Liste von CISA liegt bereits aktive Ausnutzung vor [2]. Unser internes Intelligence-Radar OCIRIA erfasst dieselbe Schwachstelle als priorisiert und stuft sie als Remotecodeausführung mit kritischem Schweregrad ein; diese Einschätzung basiert auf denselben hier zitierten öffentlichen Daten von NVD und CISA und nicht auf einer zusätzlichen unabhängigen Quelle.

Wen es betrifft

Der betroffene Hersteller ist Microsoft, und das konkrete Produkt ist SharePoint [1]. Jede Organisation, die SharePoint als Plattform für Zusammenarbeit, Dokumentenverwaltung oder Unternehmens-Intranet nutzt, sollte sich als potenziell exponiert betrachten. Die verfügbare strukturierte Wahrheit spezifiziert weder konkrete Produktversionen noch Größe oder Branche der betroffenen Organisationen, weshalb es nicht möglich ist, den Umfang weiter einzugrenzen, ohne Spekulationen zu riskieren; ratsam ist, dass jedes Unternehmen mit SharePoint in seiner Infrastruktur seine Exposition überprüft, unabhängig von seiner Größe.

Wie Sie erkennen, ob Sie betroffen sind

• Prüfen Sie, ob SharePoint Teil Ihrer Infrastruktur ist (eigene Server, nicht nur die allgemeine Nutzung von Microsoft 365) und welche Instanzen von außerhalb des Unternehmensnetzwerks erreichbar sind.
• Überprüfen Sie den Patch-Status dieser Server im Vergleich zu den Sicherheitsbulletins von Microsoft, die nach der Veröffentlichung dieser CVE (14. Juli 2026) [1] erschienen sind.
• Da im KEV-Katalog aktive Ausnutzung vermerkt ist [2], prüfen Sie die Zugriffs- und Aktivitätsprotokolle von SharePoint auf anomales Verhalten, wie unerwartete, vom Dienst selbst gestartete Prozesse oder ungewöhnliche ausgehende Verbindungen, die auf einen bereits erfolgten Ausnutzungsversuch hindeuten könnten.
• Überprüfen Sie, welche Verwaltungsschnittstellen oder SharePoint-Komponenten direkt dem Internet ausgesetzt sind, da eine Verringerung dieser sichtbaren Angriffsfläche die Möglichkeiten eines Angreifers einschränkt, während das Patchen abgeschlossen wird.

Wie Sie sich schützen

1. Spielen Sie so schnell wie möglich die verfügbaren Microsoft-Sicherheitsupdates für Ihre SharePoint-Version ein; dies ist die Maßnahme, die den Ausnutzungsweg dieser konkreten Schwachstelle direkt schließt.

2. Falls die sofortige Bereitstellung des Patches nicht möglich ist, erwägen Sie vorübergehende Eindämmungsmaßnahmen, wie die Beschränkung des Netzwerkzugriffs auf die SharePoint-Server auf ausschließlich unbedingt notwendige Benutzer und Systeme.

3. Prüfen Sie Zugriffe und Protokolle von SharePoint, um auszuschließen, dass eine Ausnutzung in Ihrer Umgebung bereits stattgefunden hat, da diese CVE als aktiv ausgenutzt gilt [2].

4. Führen Sie ein aktuelles Inventar darüber, wo SharePoint in Ihrer Organisation läuft (eigene Server, Tochtergesellschaften, Anbieter), damit keine Instanzen außerhalb des Patch-Prozesses bleiben.

5. Stärken Sie Ihre Incident-Response-Fähigkeit: Da es sich um eine kritische Schwachstelle mit bestätigter Ausnutzung handelt, sollte das Vorgehen bei Feststellung verdächtiger Aktivität klar definiert sein.

Häufig gestellte Fragen

Ist dies eine bestätigte kritische Schwachstelle und nicht nur eine Schätzung?

Ja, NVD stuft sie mit dem Schweregrad „kritisch" und einem CVSS-Wert von 9.8 ein [1].

Wird sie bereits bei realen Angriffen ausgenutzt?

Ja, CISA führt sie in ihrem Katalog bekannter ausgenutzter Schwachstellen (KEV) [2], was auf eine bestätigte aktive Ausnutzung hinweist, nicht nur auf ein theoretisches Risiko.

Betrifft es nur SharePoint Online (Cloud) oder auch On-Premises-Installationen?

Die verfügbare strukturierte Wahrheit spezifiziert nicht die betroffene Art der Bereitstellung, sondern lediglich, dass das Produkt Microsoft Office SharePoint ist [1]. Angesichts dieses Detailmangels ist es ratsam, jede von Ihrer Organisation verwaltete SharePoint-Instanz zu überprüfen.

Was sollte ich tun, wenn ich nicht sofort patchen kann?

Reduzieren Sie die Netzwerkexposition Ihrer SharePoint-Server und verstärken Sie die Zugriffsüberwachung, während Sie den Aktualisierungsprozess abschließen; dies ersetzt nicht den Patch, begrenzt aber das Risikofenster.

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-50522
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json