CISA nimmt Microsoft-SharePoint-RCE nach Beginn aktiver Angriffe in die Liste ausgenutzter Schwachstellen auf

CISA hat eine Schwachstelle zur Remotecodeausführung in Microsoft SharePoint in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen, nachdem festgestellt wurde, dass das Problem bei aktiven Angriffen verwendet wird.

Die als CVE-2026-45659 geführte Schwachstelle betrifft die lokalen Versionen SharePoint Server Subscription Edition, SharePoint Server 2019 und SharePoint Enterprise Server 2016. Microsoft hat die Schwachstelle im Mai behoben, doch die Aufnahme durch die Behörde in die KEV-Liste zeigt, dass Bedrohungsakteure sie nun in freier Wildbahn ausnutzen.

Der Fehler steht im Zusammenhang mit unsicherer Deserialisierung und erfordert keine Vorab-Authentifizierung. Die Ausnutzung ist jedoch weiterhin für Angreifer möglich, die über einen legitimen Zugang zu einer SharePoint-Umgebung verfügen. Microsoft erklärte, dass ein authentifizierter Benutzer mit bereits Site-Member-Berechtigungen Remotecodeausführung auf einem verwundbaren Server über das Netzwerk auslösen könne.

Was Microsoft und CISA sagen

• Microsoft bewertete die Schwachstelle bei der Veröffentlichung des Patches als in realen Szenarien schwer auszunutzen und stufte eine Ausnutzung als weniger wahrscheinlich ein.
• Der KEV-Eintrag von CISA zeigt, dass eine aktive Ausnutzung inzwischen bestätigt wurde.
• Die Schwachstelle weist einen CVSS-Score von 8,8 auf, was auf eine hohe Schwere der Auswirkungen hinweist.

CISA nannte weder die Angreifer noch machte die Behörde Angaben dazu, wie viele Organisationen möglicherweise bereits betroffen sind. Dennoch warnte die Behörde, dass Schwachstellen dieser Art häufig missbraucht werden und ein erhebliches Risiko für Systeme des Bundes darstellen können.

Bundesbehörden wurden angewiesen, der Binding Operational Directive 26-04 zu folgen und den Fix von Microsoft bis zum 4. Juli einzuspielen. Wenn eine Eindämmung nicht möglich ist, wird von den Behörden erwartet, dass sie die betroffenen Produkte nicht mehr verwenden.

Die Situation verdeutlicht ein bekanntes Muster bei der Reaktion auf Schwachstellen: Sobald Patches öffentlich verfügbar sind, beginnen Angreifer häufig schnell damit, sie zurückzuentwickeln und Systeme anzugreifen, die noch nicht aktualisiert wurden. Für Organisationen, die über das Internet erreichbare SharePoint-Server betreiben, ist der neue KEV-Eintrag ein klares Signal, den Patch-Status zu überprüfen und die Angriffsfläche umgehend zu reduzieren.