CVE-2026-50522: Lỗ hổng SharePoint Server RCE bị khai thác chủ động sau PoC công khai
"Microsoft patched CVE-2026-50522, a critical SharePoint Server deserialization vulnerability with a CVSS score of 9.8 that can allow remote code execution over the network. Security researchers reported active exploitation after a public PoC, with attackers using it to steal SharePoint/IIS machine keys and maintain persistent access; defenders are advised to patch and rotate exposed credentials."
Nguy cơ cao do RCE từ xa (CVSS 9.8) và khả năng trộm machine keys để duy trì truy cập dai dẳng; các dấu hiệu active exploitation làm tăng xác suất bị nhắm mục tiêu.
Có thể gây gián đoạn dịch vụ SharePoint và làm lộ bí mật hệ thống, dẫn đến rủi ro chiếm quyền truy cập và chi phí xử lý sự cố; mức độ ảnh hưởng tăng khi môi trường on-premises bị khai thác.
Microsoft đã phát hành bản vá trong Patch Tuesday tháng 7/2026 cho CVE-2026-50522, một lỗ hổng deserialization dữ liệu không tin cậy trên Microsoft Office SharePoint Server. Theo thông tin được trích dẫn, CVE này có CVSS 9.8 và có thể dẫn đến remote code execution (RCE) qua mạng.
Bài viết cho biết các nhà nghiên cứu ghi nhận active exploitation sau khi có proof-of-concept (PoC) công khai. Trong kịch bản tấn công mạng, kẻ tấn công được mô tả là có thể authenticated ở mức Site Owner để ghi và thực thi mã tùy ý từ xa trên máy chủ SharePoint. Microsoft cũng đánh giá khả năng khai thác là “Exploitation More Likely”.
Các quan sát từ nhà cung cấp giám sát mối đe dọa cho thấy kẻ tấn công có thể trộm machine keys của IIS/SharePoint chỉ bằng một yêu cầu đơn lẻ để duy trì truy cập dai dẳng. Một số báo cáo khác nhận định tác nhân đe dọa có thể chuyển sang tải trọng .NET deserialization tại endpoint đăng nhập.
Khuyến nghị: ưu tiên cài bản vá cho các phiên bản SharePoint Server được hỗ trợ, đồng thời rotate/thu hồi mọi credential/machine keys có khả năng bị lộ và rà soát dấu hiệu RCE hoặc hoạt động hậu khai thác.