CVE-2026-50522 is a critical unauthenticated Remote Code Execution (RCE) vulnerability in Microsoft SharePoint Server, caused by insecure deserialization of untrusted data via the legacy BinaryFormatter in the WS-Federation token processing endpoint. An unauthenticated remote attacker can post a specially crafted malicious payload to the /_trust/default.aspx endpoint to execute arbitrary code in the context of the SharePoint service account, requiring no credentials and no user interaction (CVSS 3.1: 9.8 Critical). Following the public release of a proof-of-concept (PoC) on July 20, 2026, active exploitation was immediately observed, with attackers targeting SharePoint machine keys to forge persistent authentication tokens that survive even after patching. The MONITORAPP TA team is actively monitoring exploitation attempts and has confirmed that AIWAAP is capable of detecting the malicious deserialization payload pattern in HTTP POST traffic.

Tags: CVE-2026-50522, Microsoft SharePoint, Deserialization, RCE, BinaryFormatter, CWE-502, Machine Key Theft, WS-Federation, T1190, Unauthenticated, CVSS 9.8, August 2026, Actively Exploited

---

1. Overview

Source: Microsoft Security Response Center (MSRC)

Microsoft SharePoint Server is an enterprise platform widely used for document management, collaboration, and intranet portal development within organizations, and is currently operated by hundreds of thousands of organizations worldwide. In on-premises deployment environments, it is often directly exposed to the internet, making it a prime target for external attacks.

CVE-2026-50522 is a deserialization vulnerability that occurs during the WS-Federation authentication process in SharePoint Server, allowing an unauthenticated remote attacker to send a specially crafted payload to execute arbitrary code on the server (CWE-502). In particular, a successful exploit allows for the theft of the ASP.NET machine key, enabling attackers to re-access the server using forged authentication tokens even after the patch has been applied, resulting in a very broad scope of damage.

Following the release of the July 2026 Patch Tuesday updates (July 8), a public proof-of-concept (PoC) emerged on July 20, and actual attacks were confirmed within a few hours.

---

2. Attack Types

The core vulnerability in CVE-2026-50522 arises when SharePoint Server deserializes user-provided data through the SessionSecurityTokenHandler deserializes user-supplied data via a class, using an outdated BinaryFormatter. BinaryFormatterThis allows for the reconstruction of an arbitrary .NET object graph; consequently, by exploiting a pre-known gadget chain, arbitrary code can be executed during the deserialization process.

An attacker can serialize a malicious .NET gadget chain BinaryFormatter disguise the payload as a SecurityContextToken disguise the payload—serialized as a malicious .NET gadget chain—as a cookie value, wrap it as a WS-Federation login response (WSFederationMessage), and send it via an HTTP POST request to a SharePoint /_trust/default.aspx via an HTTP POST request. Since the server deserializes the token before verifying authentication, the payload executes with the server-side service account’s permissions without requiring authentication.

Once RCE is achieved, the attacker’s primary target is the **ASP.NET machine key**. The machine key is a secret key used by ASP.NET for encryption and signing—such as form authentication cookies, ViewState, and session tokens—and is stored in plain text in the IIS configuration file (web.config or the registry). An attacker can steal this key with a single request and subsequently forge arbitrary authentication tokens; this is extremely dangerous because re-access remains possible even after a patch is applied unless the key is replaced.

In actual attack cases, a pattern has been observed where, following an initial RCE, an attacker uploads a web shell (in ASPX format) to the SharePoint web root to establish a persistent remote access foothold, which subsequently leads to lateral movement within the internal network and the theft of corporate documents and credentials.

Example of an attack packet

POST /_trust/default.aspx HTTP/1.1
Host: sharepoint.victim.corp
Content-Type: application/x-www-form-urlencoded
Cookie: SecurityContextToken=<BinaryFormatter_Gadget_Payload_Base64>

wa=wsignin1.0
&wresult=<t%3ARequestSecurityTokenResponse+xmlns%3At%3D...>
  <t%3ALifetime>...</t%3ALifetime>
  <wsp%3AAppliesTo>...</wsp%3AAppliesTo>
  <t%3ARequestedSecurityToken>
    <!-- 조작된 SecurityContextToken (BinaryFormatter 역직렬화 페이로드 포함) -->
    <wsse%3ASecurityContextToken>
      <wsse%3AIdentifier>urn:uuid:attacker-controlled</wsse%3AIdentifier>
    </wsse%3ASecurityContextToken>
  </t%3ARequestedSecurityToken>
</t%3ARequestSecurityTokenResponse>
&wctx=

<-- 서버 응답: 가젯 체인 실행 → SharePoint 서비스 계정 권한으로 임의 명령 수행 -->
<-- 후속: web.config에서 machineKey validationKey/decryptionKey 추출 -->

---

3. Response

Immediate Patching and Upgrading

You must immediately apply the security updates provided by Microsoft during the July 2026 Patch Tuesday. All affected versions (SharePoint Server 2016 Enterprise, 2019, and Subscription Edition) are subject to this patch, and you must replace the ASP.NET machine key even after applying the patch. If the machine key has already been compromised, applying the patch alone will not prevent re-access via forged tokens.

AIWAAP Response

Since this vulnerability involves the transmission of a malicious deserialization payload via an HTTP POST request, it can be detected using AIWAAP’s deserialization attack detection patterns. /_trust/default.aspx We recommend applying blocking policies to abnormal POST requests sent to endpoints, as well as BinaryFormatter cookie and parameter values containing gadget chain signatures.

---

4. Conclusion

CVE-2026-50522 is a CVSS 9.8 Critical vulnerability that allows unauthenticated remote code execution; since actual attacks were confirmed immediately after the PoC was released, an urgent response is required. In particular, the greatest risk posed by this vulnerability is that complete recovery is impossible through patching alone once a machine key has been compromised. In addition to applying Microsoft’s security patches immediately, organizations should replace machine keys, check for the presence of web shells, and /_trust/default.aspx and analyzing access logs. The MONITORAPP TA Team is continuously monitoring attack trends related to this vulnerability and plans to support the blocking of attack traffic through AIWAAP deserialization detection patterns.

---

5. References

• https://nvd.nist.gov/vuln/detail/CVE-2026-50522
• https://thehackernews.com/2026/07/critical-sharepoint-rce-cve-2026-50522.html
• https://securityaffairs.com/195760/security/public-poc-triggers-active-exploitation-of-critical-sharepoint-rce-vulnerability-cve-2026-50522.html
• https://www.bleepingcomputer.com/news/security/critical-sharepoint-rce-flaw-exploited-to-steal-machine-keys/
• https://www.ionix.io/threat-center/cve-2026-50522/
• https://attack.mitre.org/techniques/T1190/