Onderzoekers verwachten dat een kritieke kwetsbaarheid in Microsoft SharePoint, waardoor een ongeauthenticeerde aanvaller code op kwetsbare servers kan uitvoeren, op grote schaal zal worden misbruikt. Misbruik vindt op dit moment al plaats, waarbij aanvallers machine keys van SharePoint-servers stelen. Deze keys worden gebruikt om de informatie te beschermen die tussen gebruikers en de server wordt uitgewisseld. Ook worden ze gebruikt voor het valideren en beveiligen van tokens.

Met de gestolen keys kunnen aanvallers toegang tot de server behouden. Het installeren van alleen de update kan dan ook niet genoeg zijn. Als de SharePoint voor het installeren van de patch al is gehackt, moeten ook de keys worden geroteerd. Organisaties gebruiken SharePoint voor allerlei werkprocessen, zoals het delen van documenten en informatie en opzetten van interne websites.

Op 14 juli kwam Microsoft met updates voor een kritiek beveiligingslek in SharePoint, aangeduid als CVE-2026-50522. De kwetsbaarheid maakt remote code execution mogelijk (RCE). Microsoft was bij het uitkomen van de updates nog niet met misbruik bekend, maar waarschuwde wel dat de kans op misbruik 'more likely' was. Afgelopen dinsdag liet cybersecuritybedrijf watchTowr weten dat aanvallers misbruik van het probleem maken. Het Amerikaanse cyberagentschap CISA heeft dit nu bevestigd en Amerikaanse overheidsinstanties opgedragen de SharePoint-update binnen drie dagen te installeren.

Beveiligingsonderzoeker Kevin Beaumont stelt dat grootschalig misbruik van het SharePoint-lek zal plaatsvinden, aangezien de kwetsbaarheid remote code execution mogelijk maakt en SharePoint op grote schaal wordt gebruikt. Cybersecuritybedrijf SOCRadar schrijft op X dat on-premises SharePoint van een patch-ticket in een 'incident response nachtmerrie' is veranderd.