关键SharePoint远程代码执行漏洞被利用窃取机器密钥 | JQJO

美国 – 网络安全研究人员于2026年7月21日警告称，攻击者正在积极利用微软SharePoint中的一个关键远程代码执行漏洞，该漏洞被追踪为CVE-2026-50522。该漏洞的CVSS评分为9.8分（满分10分），允许未经身份验证的攻击者在网络上执行任意代码，对全国范围内未打补丁的本地部署SharePoint构成直接风险。此不受信任数据反序列化漏洞影响了微软协作平台的多个广泛使用的版本，包括SharePoint Enterprise Server 2016、SharePoint Server 2019和SharePoint Server Subscription Edition，对于依赖这些产品进行内部文档共享和工作流管理的组织来说，潜在影响广泛。

美国 – 微软于2026年7月14日披露并修补了CVE-2026-50522，作为其每月“补丁星期二”发布的一部分，该发布解决了创纪录的570个安全漏洞。当时其公告描述称，利用的可能性更大但尚未观察到。2026年7月20日，一位代号为Janggggg的研究人员在GitHub上发布了一个功能齐全的PowerShell概念验证（PoC）漏洞利用程序后，情况迅速改变，之后安全公司观察到了野外即时利用的情况。该漏洞利用程序展示了攻击者如何通过在伪造的WS-Federation登录响应中的SecurityContextToken中伪装成Cookie来传递恶意.NET BinaryFormatter载荷，从而滥用SharePoint的令牌处理过程，然后将其发送到'/ _trust/default.aspx'端点，在服务器反序列化不受信任的数据时触发远程代码执行。