Celah RCE Kritis SharePoint Dieksploitasi untuk Mencuri Machine Keys
Peretas dilaporkan mulai mengeksploitasi celah kritis CVE-2026-50522 pada Microsoft SharePoint untuk mencuri machine keys dari server yang rentan. Kunci tersebut dapat digunakan untuk mempertahankan akses, bahkan setelah server terdampak dipasang patch, sehingga organisasi tidak cukup hanya melakukan pembaruan perangkat lunak.
Machine keys pada SharePoint memiliki peran penting dalam proses validasi dan pembuatan token autentikasi. Jika kunci ini berhasil dicuri, penyerang berpotensi membuat token autentikasi yang valid, menyamar sebagai pengguna, lalu mengakses situs SharePoint maupun dokumen dengan hak akses identitas yang dipalsukan.
Microsoft menjelaskan CVE-2026-50522 sebagai kelemahan deserialization of untrusted data yang memungkinkan eksekusi kode jarak jauh melalui jaringan tanpa autentikasi. Celah ini telah ditangani dalam pembaruan keamanan Juli 2026. Saat dirilis, Microsoft tidak menandainya sebagai celah yang sudah aktif dieksploitasi, tetapi memberi peringatan bahwa kemungkinan eksploitasi berada pada tingkat yang lebih tinggi.
Eksploitasi Muncul Setelah PoC Dipublikasikan
Aktivitas eksploitasi terhadap deployment SharePoint on-premise mulai terlihat tidak lama setelah proof-of-concept exploit yang valid beredar secara publik. Perusahaan keamanan ofensif watchTowr menyatakan honeypot global mereka menangkap upaya eksploitasi dalam hitungan jam setelah kode PoC tersebut ditemukan.
Menurut temuan tersebut, serangan yang terpantau tidak hanya berupaya menjalankan kode pada server SharePoint, tetapi juga mengambil machine keys untuk membuka peluang akses jangka panjang. Pola ini membuat proses pemulihan menjadi lebih kompleks karena kredensial dan material kriptografis yang sudah terekspos harus dianggap tidak lagi aman.
Sebelumnya, perusahaan intelijen ancaman Defused juga mendeteksi penggunaan vektor deserialization SharePoint yang belum terdokumentasi dalam serangan sejak 17 Juli. Aktivitas tersebut kemudian dinilai kemungkinan besar berkaitan dengan eksploitasi CVE-2026-50522.
Teknik Serangan Menyasar Proses Autentikasi
Salah satu exploit demonstratif berbasis PowerShell yang beredar mencoba memicu remote code execution dengan mengirimkan payload .NET BinaryFormatter berbahaya sebagai cookie dari SecurityContextToken palsu. Payload tersebut dikirim melalui respons sign-in WS-Federation ke endpoint SharePoint /_trust/default.aspx.
Jika token diproses oleh jalur deserialization yang rentan, payload dapat berujung pada eksekusi kode arbitrer di server SharePoint. Walau detail eksploitasi publik belum tentu sama dengan seluruh serangan yang terlihat di lapangan, ketersediaan PoC membuat risiko terhadap sistem on-premise yang belum diperbarui meningkat secara signifikan.
Admin SharePoint disarankan segera memasang pembaruan keamanan terbaru untuk menutup celah tersebut. Namun, untuk server yang diduga sudah terekspos, langkah mitigasi sebaiknya diperluas dengan rotasi machine keys, pemeriksaan log autentikasi, pengecekan web shell atau artefak pasca-eksploitasi, serta rotasi kredensial pada aset yang mungkin terdampak.
Kasus ini kembali menegaskan bahwa patching tidak selalu menjadi akhir dari penanganan insiden. Ketika penyerang sudah mencuri kunci atau kredensial, organisasi perlu memperlakukan sistem sebagai lingkungan yang berpotensi telah dikompromikan dan melakukan pemulihan berbasis asumsi breach.
