SharePoint: CISA bestätigt Ausnutzung von CVE-2026-45659 durch Ransomware-Gruppen

Exponierte SharePoint-Server im Visier

Am 11. August 2026 bestätigte CISA, dass Ransomware-Gruppen die Microsoft-SharePoint-Schwachstelle CVE-2026-45659 aktiv ausnutzen.

Die Sicherheitslücke war bereits am 1. Juli in den Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen worden. CISA hatte US-Bundesbehörden daraufhin angewiesen, ihre Server innerhalb von drei Tagen abzusichern.

Eine spätere Aktualisierung des Katalogs stellte klar, dass die Schwachstelle auch von Ransomware-Gangs genutzt wird. Microsoft hat den Sicherheitshinweis zu CVE-2026-45659 dagegen bislang nicht aktualisiert, um die tatsächliche Ausnutzung zu bestätigen.

Laut Shadowserver sind mehr als 8.500 Microsoft-SharePoint-Server online erreichbar. Über 200 davon sollen noch nicht gegen diese Schwachstelle geschützt sein.

Eine Deserialisierungsschwachstelle ermöglicht Codeausführung

Bei CVE-2026-45659 handelt es sich um eine hochgradige Schwachstelle bei der Deserialisierung nicht vertrauenswürdiger Daten. Angreifer mit geringen Berechtigungen können sie ausnutzen, um auf einem ungepatchten SharePoint-Server aus der Ferne beliebigen Code auszuführen.

Der Angriff weist eine geringe Komplexität auf: Es sind keine umfassenden Kenntnisse der Umgebung erforderlich, und die Nutzlast kann auf der betroffenen Komponente reproduzierbare Ergebnisse erzielen.

Das operative Risiko betrifft nicht nur den einzelnen SharePoint-Dienst. Eine anfängliche Kompromittierung kann Kriminellen als Einstiegspunkt dienen, um sich im Netzwerk auszubreiten, Daten zu stehlen und Ransomware zu verteilen.

Betroffene Produkte und Kontext der Kampagnen

Als betroffen gelten:

• Microsoft SharePoint Enterprise Server 2016;
• Microsoft SharePoint Server 2019;
• Microsoft SharePoint Server Subscription Edition.

Im Zusammenhang mit Schutz und Erkennung sind außerdem Microsoft Defender Antivirus (MDAV) und die Windows Antimalware Scan Interface (AMSI) relevant.

Seit November 2021 hat CISA 14 aktiv ausgenutzte Microsoft-SharePoint-Schwachstellen gemeldet. Acht davon wurden nachweislich auch bei Ransomware-Angriffen eingesetzt.

Im Juni bestätigte CISA außerdem die Ausnutzung von CVE-2026-33825 durch Ransomware. Dabei handelt es sich um eine hochgradige Schwachstelle zur Rechteausweitung in Microsoft Defender, die unter dem Namen BlueHammer bekannt ist. Microsoft hat weder die Ausnutzung dieser Schwachstelle in freier Wildbahn noch jene von CVE-2026-45659 bislang bestätigt.

Was Administratoren tun sollten

Organisationen, die SharePoint betreiben, sollten:

1. die neuesten Microsoft-Patches für die betroffenen Produkte installieren;
2. überprüfen, ob die Installation der Updates tatsächlich erfolgreich war;
3. direkt aus dem Internet erreichbare Server priorisieren;
4. die AMSI-Integration für SharePoint-Webanwendungen aktivieren;
5. die Erkennungsfunktionen von Microsoft Defender Antivirus zur Suche nach Kompromittierungen einsetzen;
6. die Systeme auf Anzeichen einer Ausnutzung prüfen;
7. die Zeit für Patch-Zyklen verkürzen.

Die genauen Versionen der verwundbaren Builds und spezifische technische Indikatoren der Angriffe wurden nicht veröffentlicht. Bis weitere Details vorliegen, bleiben die dringlichsten Maßnahmen die Aktualisierung exponierter SharePoint-Server sowie die anschließende Überprüfung der Protokolle und aktiven Schutzmechanismen.