Microsoft SharePoint’teki Kritik Güvenlik Açığı Sunuculara Kalıcı Erişim Sağlıyor
Microsoft, SharePoint sunucularını etkileyen kritik bir güvenlik açığının saldırganlar tarafından aktif olarak istismar edildiğini doğruladı. SharePoint güvenlik açığı olarak takip edilen CVE-2026-50522, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına olanak tanırken saldırganların sistem anahtarlarını ele geçirerek güncelleme sonrasında bile erişimlerini sürdürebilmesine neden oluyor. Güvenlik uzmanları, yalnızca güvenlik güncellemesini yüklemenin yeterli olmayabileceği konusunda kurumları uyarıyor.
CVE-2026-50522 Açığı Sunucularda Kimlik Sahteciliğine Yol Açıyor
Microsoft’un Temmuz 2026 güvenlik güncellemeleri kapsamında giderdiği CVE-2026-50522, güvenilmeyen verilerin seri durumdan çıkarılması (deserialization) hatasından kaynaklanıyor. Açık, saldırganların ağ üzerinden kimlik doğrulaması yapmadan SharePoint sunucularında uzaktan kod çalıştırmasına imkân veriyor.
Başarılı bir saldırının ardından ele geçirilen makine anahtarları, sahte kimlik doğrulama belirteçleri oluşturmak için kullanılabiliyor. Böylece saldırganlar yetkili kullanıcıları taklit ederek SharePoint sitelerine, belgelere ve diğer kurumsal kaynaklara erişebiliyor. Daha da önemlisi, bu anahtarlar saldırganların güvenlik güncellemesi uygulandıktan sonra bile sistemde kalıcılık sağlamasına yardımcı olabiliyor. Microsoft, güvenlik bülteninde açığın aktif olarak kullanıldığı bilgisini paylaşmamış olsa da istismar edilme olasılığının yüksek olduğuna dikkat çekmişti. Kısa süre sonra gelen saldırılar ise bu uyarının haklı olduğunu ortaya koydu.
Saldırıları ilk tespit eden şirketlerden watchTowr, 20 Temmuz’da güvenlik açığına ait çalışan bir kavram kanıtlama (PoC) kodunun yayınlandığını ve yalnızca birkaç saat içinde dünya genelindeki bal küpü (honeypot) sistemlerinde gerçek saldırılar gözlemlediklerini açıkladı.
Araştırmacılara göre saldırganlar, başarılı istismar sonrasında özellikle makine anahtarlarını hedef alıyor. Bu bilgiler sayesinde saldırganlar, sistem yöneticileri güvenlik güncellemesini yüklese bile sahte kimlik doğrulama belirteçleri oluşturarak erişimlerini sürdürebiliyor.
Öte yandan Defused isimli tehdit istihbaratı şirketi, 17 Temmuz’dan itibaren SharePoint’i hedef alan bilinmeyen bir seri durumdan çıkarma saldırısını tespit ettiğini, yapılan incelemelerin ardından bu faaliyetlerin CVE-2026-50522 güvenlik açığıyla ilişkili olduğunun değerlendirildiğini duyurdu.
GitHub üzerinde yayınlanan PowerShell tabanlı PoC kodu, SharePoint’in /_trust/default.aspx uç noktasına özel olarak hazırlanmış kötü amaçlı bir WS-Federation isteği göndererek uzaktan kod çalıştırmayı hedefliyor. Uzmanlar, kodun teknik açıdan gerçekçi göründüğünü ancak saldırılarda doğrudan bu PoC’nin kullanılıp kullanılmadığının henüz doğrulanamadığını belirtiyor.
watchTowr, kurumların SharePoint güvenlik güncellemesini vakit kaybetmeden yüklemesini önerirken bunun tek başına yeterli olmadığını vurguluyor. Daha önce savunmasız durumda kalan sunucuların kimlik bilgileri, erişim anahtarları ve ilgili kimlik doğrulama verileri de yenilenmeli. Uzmanlara göre yalnızca güvenlik açığını kapatmak, saldırganların daha önce ele geçirdiği makine anahtarlarını geçersiz kılmıyor ve bu durum uzun süreli yetkisiz erişim riskini devam ettirebiliyor.
