Er wordt actief misbruik gemaakt van een kritieke kwetsbaarheid in Microsoft SharePoint die het uitvoeren van remote code execution (RCE) op SharePoint-servers mogelijk maakt. Microsoft bracht een week geleden beveiligingsupdates uit voor deze kwetsbaarheid, bekend als CVE-2026-50522. Cybersecuritybedrijf watchTowr meldt dat aanvallers inmiddels de kwetsbaarheid exploiteren.

Microsoft waarschuwde bij het uitbrengen van de patches al dat misbruik op korte termijn te verwachten was. SharePoint wordt door organisaties veel gebruikt voor het delen van documenten, informatie en het opzetten van interne websites, waardoor het een aantrekkelijk doelwit is voor aanvallen. De kwetsbaarheid betreft een 'deserialization of untrusted data' waardoor een ongeauthenticeerde aanvaller code kan uitvoeren op de server. Verdere technische details zijn door Microsoft niet vrijgegeven.

Volgens watchTowr stelen aanvallers machine keys om langdurige toegang tot de gehackte servers te behouden. Er is ook publieke exploitcode beschikbaar gekomen, wat het risico op misbruik vergroot. Het Amerikaanse cyberagentschap CISA houdt een overzicht bij van kwetsbaarheden die actief worden aangevallen. In dit overzicht staan dertien SharePoint-lekken, waarvan vijf uit 2026, maar CVE-2026-50522 is daar nog niet aan toegevoegd. Vanwege de toename van aanvallen adviseerde CISA vorige week om SharePoint-servers extra te beveiligen.