CISA bevestigt dat SharePoint-kwetsbaarheid wordt gebruikt bij ransomware-aanvallen

CISA heeft bevestigd dat een Microsoft SharePoint-lek met nummer CVE-2026-45659 nu wordt gebruikt bij ransomware-aanvallen.

Vorige maand waarschuwde CISA al dat er misbruik werd gemaakt van een nieuw SharePoint-lek. Het agentschap heeft het zeer ernstige beveiligingslek nu in verband gebracht met ransomware-campagnes die het gemunt hebben op kwetsbare SharePoint-servers.

Het lek, bijgehouden als CVE-2026-45659, wordt sinds begin juli als actief misbruikt beschouwd. Het was ook een van de drie opkomende SharePoint-lekken die CISA eerder had gemarkeerd.

CVE-2026-45659 kan uitvoering van externe code mogelijk maken

CVE-2026-45659 treft ongepatchte SharePoint Enterprise Server 2016, SharePoint Server 2019 en SharePoint Server Subscription Edition.

De kwetsbaarheid komt voort uit onveilige deserialisatie en kan aanvallers met beperkte rechten in staat stellen willekeurige code uit te voeren op getroffen servers.

Microsoft beschreef misbruik eerder als relatief laag in complexiteit en stelt dat aanvallers weinig voorkennis van het doelsysteem nodig hebben.

CISA beval federale instanties om het lek te patchen

CISA voegde CVE-2026-45659 op 1 juli toe aan zijn catalogus met bekende, misbruikte kwetsbaarheden en gaf de agentschappen van de federale civiele uitvoerende macht drie dagen de tijd om de getroffen SharePoint-servers te beveiligen.

Het agentschap waarschuwde dat kwetsbaarheden van dit type vaak kwaadwillende actoren aantrekken en aanzienlijke risico’s vormen voor federale organisaties.

CISA adviseerde organisaties later om de nieuwste beveiligingsupdates van Microsoft te installeren, te controleren of patches correct zijn toegepast, SharePoint-servers te monitoren op tekenen van inbraak en de tijd tussen het beschikbaar komen van patches en het toepassen ervan te verkorten.

Honderden SharePoint-servers zouden nog steeds kwetsbaar zijn

Naar verluidt zijn meer dan 200 SharePoint-systemen nog steeds niet gepatcht tegen CVE-2026-45659, waardoor ze blootgesteld blijven aan mogelijke aanvallen.

Microsoft heeft zijn eigen CVE-beveiligingsadvies nog niet bijgewerkt om het lek officieel te markeren als ‘in het wild misbruikt’.

In ander beveiligingsnieuws waarschuwt Microsoft voor nieuwe StormEncryptor-ransomware.

Via BleepingComputer