CISA warnt vor aktiven Angriffen auf drei SharePoint-Server-Schwachstellen
Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat Organisationen, die Microsoft SharePoint Server lokal betreiben, aufgefordert, ihre Abwehrmaßnahmen zu verstärken, nachdem bes...
Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat Organisationen, die Microsoft SharePoint Server lokal betreiben, aufgefordert, ihre Abwehrmaßnahmen zu verstärken, nachdem bestätigt wurde, dass drei Schwachstellen bei Angriffen ausgenutzt werden.
Die Empfehlung gilt für unterstützte SharePoint-Server-Bereitstellungen. Die CISA hob CVE-2026-32201 hervor, eine mit 6,5 bewertete Spoofing-Schwachstelle; CVE-2026-45659, eine mit 8,8 bewertete Schwachstelle zur Ausführung beliebigen Codes aus der Ferne; sowie CVE-2026-56164, eine mit 5,3 bewertete Schwachstelle zur Rechteausweitung. Microsoft legte die erste Schwachstelle im März offen, während die Ausnutzung der zweiten im Juni gemeldet wurde. Die dritte war im Juli-Release zum Patch Tuesday enthalten.
Die Behörde identifizierte außerdem zwei weitere kritische Schwachstellen, die das Risiko für SharePoint-Umgebungen erhöhen könnten. CVE-2026-55040 weist einen Schweregrad von 9,1 auf, CVE-2026-58644 ist mit 9,8 bewertet. Für keine der beiden wurde eine Ausnutzung bestätigt, Microsoft stuft sie jedoch beide als wahrscheinlicheres Ziel von Angriffen ein.
Aktivitäten nach der Kompromittierung
Nach Angaben der CISA stehen die ausgenutzten Schwachstellen mit Aktivitäten nach der ersten Kompromittierung in Verbindung. Angreifer sollen versucht haben, die Maschinenschlüssel von Internet Information Services zu stehlen und Deserialisierungstechniken einzusetzen, um den Zugriff aufrechtzuerhalten und Schadsoftware zu installieren.
Die Behörde verwies die Verteidiger auf eine frühere Warnung zu „ToolShell“-Angriffen auf SharePoint. Bei dieser Kampagne wurden zwei frühere Schwachstellen miteinander verkettet: CVE-2025-49706 und CVE-2025-49704. Die CISA erklärte, dass diese Angriffe in einigen Fällen zur Bereitstellung der Ransomware Warlock geführt hätten. Die Behörde ordnete die jüngsten Aktivitäten keiner bestimmten Bedrohungsgruppe oder keinem bestimmten Land zu.
Empfohlene Maßnahmen
Die CISA riet Organisationen, die aktuellen SharePoint-Sicherheitsupdates von Microsoft einzuspielen und zu bestätigen, dass die Integration der Antimalware Scan Interface für jede SharePoint-Webanwendung aktiviert ist. Verteidiger sollten außerdem nach Anzeichen einer Kompromittierung suchen, bevor sie die IIS-Maschinenschlüssel austauschen, da ein vorzeitiger Austausch für die Untersuchung eines Eindringens nützliche Informationen entfernen kann.
- Die Exposition von SharePoint gegenüber dem Internet nach Möglichkeit begrenzen.
- Den externen Zugriff auf die SharePoint-Zentraladministration einschränken.
- Eine maßgeschneiderte Protokollierung aufrechterhalten, mit der sich Ausnutzungsversuche und Aktivitäten nach der Kompromittierung erkennen lassen.
- Vor Änderungen zur Wiederherstellung eine Bedrohungssuche in den betroffenen Umgebungen durchführen.