CVE-2026-50522

Nome do Software Vulnerável e Versões Afetadas Microsoft SharePoint Server (versões afetadas não especificadas) Microsoft SharePoint Server Subscription Edition (versões afetadas não especificadas) Microsoft SharePoint Enterprise Server (versões afetadas não especificadas)

Descrição Uma falha de execução remota de código não autenticada existe devido à desserialização insegura de dados não confiáveis na classe SessionSecurityTokenHandler. Um invasor pode explorar isso enviando uma solicitação manipulada contendo um payload malicioso .NET BinaryFormatter através de um cookie SecurityContextToken falso para o endpoint trust/default.aspx. Isso permite a execução de código arbitrário no servidor, podendo levar ao comprometimento total do ambiente, roubo de dados e movimentação lateral. Incidentes reais foram observados onde agentes de ameaças exploram essa falha para roubar chaves de máquina do SharePoint, que são usadas para operações criptográficas. O roubo dessas chaves permite que os invasores forjem tokens de autenticação e mantenham acesso persistente ao sistema, mesmo após a correção da vulnerabilidade.

Recomendações Aplique as atualizações de segurança lançadas no PatchTuesday de julho para todos os servidores SharePoint afetados. Rotacione as chaves de máquina em todos os servidores potencialmente comprometidos para evitar acesso persistente. Realize uma análise forense detalhada para identificar sinais de exfiltração de chaves de máquina ou atividade não autorizada.