CISA nimmt SharePoint-RCE CVE-2026-45659 in Liste ausgenutzter Sicherheitslücken auf

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit hat eine Schwachstelle zur Remotecodeausführung in Microsoft SharePoint Server, die als CVE-2026-45659 geführt wird, in ihren Katalog bekannter ausgenutzter Sicherheitslücken aufgenommen, nachdem sie eine aktive Ausnutzung in freier Wildbahn bestätigt hatte.

Die Schwachstelle hat einen CVSS-Score von 8,8 und ist auf eine unsichere Deserialisierung nicht vertrauenswürdiger Daten zurückzuführen. Microsoft hat die Schwachstelle im Mai 2026 für SharePoint Server Subscription Edition, SharePoint Server 2019 und SharePoint Enterprise Server 2016 behoben. Nach Angaben des Anbieters kann ein Angreifer mit authentifiziertem Zugriff und mindestens grundlegenden Berechtigungen als Website-Mitglied die Schwachstelle auslösen, um remote Code auf einem verwundbaren Server auszuführen.

Die Aufnahme der Schwachstelle durch CISA bedeutet, dass US-Bundesbehörden der zivilen Exekutive die Behebung priorisieren müssen. Die Behörde setzte den 4. Juli 2026 als Frist für die Installation des Updates. Bislang haben die Behörden die für die Ausnutzung verantwortlichen Akteure oder die Ziele der Kampagnen nicht öffentlich identifiziert.

Was Microsoft beobachtet hat

Die Sicherheitswarnung folgt auf separate Veröffentlichungen von Microsoft zu sich überschneidenden Bedrohungsaktivitäten in Unternehmensumgebungen. In einem Fall erklärte Microsoft, dass eine Ransomware-Untersuchung zwei verschiedene Angreifergruppen aufdeckte, die gleichzeitig im selben Netzwerk aktiv waren und Methoden einsetzten, die darauf ausgelegt waren, den Zugriff aufrechtzuerhalten und die Erkennung zu erschweren.

Eine Gruppe wurde mit Storm-2603 in Verbindung gebracht, einem mit der Warlock-Ransomware assoziierten Akteur. Microsoft erklärte, dass die Aktivitäten die mutmaßliche Ausnutzung einer anderen Schwachstelle sowie Tools und Dienste umfassten, die häufig für Tarnung und Persistenz eingesetzt werden, darunter Velociraptor, Cloudflare-Tunneling, Zoho Assist und SSH-Zugriff über Visual Studio Code. Die Ermittler beobachteten außerdem Versuche, Berechtigungen auszuweiten und den Endpunktschutz zu schwächen.

Eine zweite, davon unabhängige Gruppe von Akteuren wurde bei der Verwendung von DLL-Side-Loading und maßgeschneiderten Backdoors entdeckt. Microsoft stellte später fest, dass sich die Aktivitäten auf ein weiteres Unternehmen ausgeweitet hatten, was zeigte, dass der Ransomware-Angriff umfangreicher war als zunächst angenommen.

Wichtige Erkenntnisse für Verteidiger

• Installieren Sie die SharePoint-Patches von Microsoft so schnell wie möglich.
• Überprüfen Sie Authentifizierungsprotokolle und Aktivitäten des Fernzugriffs auf SharePoint-Servern.
• Achten Sie auf die unerwartete Erstellung von Administratorkonten und verdächtige Tunneling-Tools.
• Behandeln Sie mehrere Hinweise auf Eindringversuche als möglicherweise zusammenhängend, bis das Gegenteil bewiesen ist.

Microsoft erklärte, dass die sich überschneidenden Techniken die Zuordnung erschwerten und den Angreifern halfen, länger in den betroffenen Umgebungen Fuß zu fassen.