CISA bevestigt dat beveiligingslek in SharePoint wordt gebruikt bij ransomwareaanvallen

CISA heeft bevestigd dat een Microsoft SharePoint-kwetsbaarheid, geregistreerd als CVE-2026-45659, nu wordt gebruikt bij ransomware-aanvallen.

Vorige maand waarschuwde CISA dat er actief misbruik werd gemaakt van een nieuwe SharePoint-kwetsbaarheid. De instantie heeft de zeer ernstige kwetsbaarheid nu in verband gebracht met ransomware-campagnes die gericht zijn op kwetsbare SharePoint-servers.

De kwetsbaarheid, geregistreerd als CVE-2026-45659, wordt sinds begin juli beschouwd als actief misbruikt. Het was ook een van de drie opkomende SharePoint-kwetsbaarheden die eerder door CISA werden gemarkeerd.

CVE-2026-45659 kan uitvoering van externe code mogelijk maken

CVE-2026-45659 treft ongepatchte SharePoint Enterprise Server 2016, SharePoint Server 2019 en SharePoint Server Subscription Edition.

De kwetsbaarheid komt voort uit onveilige deserialisatie en kan aanvallers met lage bevoegdheden in staat stellen willekeurige code uit te voeren op getroffen servers.

Microsoft omschreef de exploitatie eerder als relatief eenvoudig qua complexiteit en gaf aan dat aanvallers weinig voorkennis van het doelsysteem nodig hebben.

CISA beval federale agentschappen de kwetsbaarheid te patchen

CISA voegde CVE-2026-45659 op 1 juli toe aan de catalogus Known Exploited Vulnerabilities en gaf Federal Civilian Executive Branch-agentschappen drie dagen de tijd om getroffen SharePoint-servers te beveiligen.

De instantie waarschuwde dat dit type kwetsbaarheden vaak kwaadwillenden aantrekt en aanzienlijke risico’s vormt voor federale organisaties.

CISA adviseerde organisaties later om de nieuwste beveiligingsupdates van Microsoft te installeren, te controleren of patches succesvol zijn toegepast, SharePoint-servers te monitoren op tekenen van inbreuk en patchachterstanden te verminderen.

Naar verluidt blijven honderden SharePoint-servers kwetsbaar

Naar verluidt zijn meer dan 200 SharePoint-systemen ongepatcht gebleven tegen CVE-2026-45659, waardoor ze blootstaan aan mogelijke aanvallen.

Microsoft heeft zijn eigen CVE-advies nog niet bijgewerkt om de kwetsbaarheid officieel te markeren als ‘in het wild’ misbruikt.

Ondertussen, in ander beveiligingsnieuws, waarschuwt Microsoft voor nieuwe StormEncryptor-ransomware.

Via BleepingComputer