CISA bestätigt, dass eine SharePoint-Schwachstelle bei Ransomware-Angriffen ausgenutzt wird

CISA hat bestätigt, dass eine als CVE-2026-45659 verfolgte Microsoft-SharePoint-Sicherheitslücke jetzt in Ransomware-Angriffen genutzt wird.

Bereits letzten Monat warnte CISA, dass eine neue SharePoint-Sicherheitslücke ausgenutzt wird. Die Behörde hat die Schwachstelle mit hohem Schweregrad nun mit Ransomware-Kampagnen in Verbindung gebracht, die auf anfällige SharePoint-Server abzielen.

Die als CVE-2026-45659 verfolgte Sicherheitslücke gilt seit Anfang Juli als aktiv ausgenutzt. Sie war zudem eine der drei neuen SharePoint-Schwachstellen, auf die CISA zuvor hingewiesen hatte.

CVE-2026-45659 kann Remotecodeausführung ermöglichen

CVE-2026-45659 betrifft ungepatchte SharePoint Enterprise Server 2016, SharePoint Server 2019 und SharePoint Server Subscription Edition.

Die Schwachstelle geht auf eine unsichere Deserialisierung zurück und kann Angreifern mit geringen Berechtigungen ermöglichen, beliebigen Code auf betroffenen Servern auszuführen.

Microsoft beschrieb die Ausnutzung zuvor als relativ einfach und teilte mit, dass Angreifer nur geringe Vorkenntnisse über das Zielsystem benötigen.

CISA ordnete Bundesbehörden an, die Sicherheitslücke zu schließen

CISA nahm CVE-2026-45659 am 1. Juli in ihren Katalog der bekannten ausgenutzten Sicherheitslücken auf und gab den Bundesbehörden der zivilen Exekutive drei Tage Zeit, um betroffene SharePoint-Server abzusichern.

Die Behörde warnte, dass Schwachstellen dieser Art häufig böswillige Akteure anziehen und erhebliche Risiken für Bundesbehörden darstellen.

CISA riet Organisationen später, die neuesten Sicherheitsupdates von Microsoft zu installieren, zu überprüfen, ob die Patches erfolgreich angewendet wurden, SharePoint-Server auf Anzeichen einer Kompromittierung zu überwachen und Verzögerungen beim Patchen zu reduzieren.

Hunderte SharePoint-Server sollen weiterhin anfällig sein

Mehr als 200 SharePoint-Systeme sollen weiterhin nicht gegen CVE-2026-45659 gepatcht sein, wodurch sie potenziellen Angriffen ausgesetzt sind.

Microsoft hat seinen eigenen CVE-Bericht noch nicht aktualisiert, um die Schwachstelle offiziell als in der Praxis ausgenutzt zu kennzeichnen.

In anderen Sicherheitsnachrichten warnt Microsoft unterdessen vor der neuen StormEncryptor-Ransomware.

Via BleepingComputer