CISA bevestigt dat SharePoint-kwetsbaarheid wordt gebruikt bij ransomware-aanvallen

CISA heeft bevestigd dat een Microsoft SharePoint-kwetsbaarheid die wordt gevolgd als CVE-2026-45659 nu wordt gebruikt bij ransomware-aanvallen.

Vorige maand waarschuwde CISA dat een nieuwe SharePoint-kwetsbaarheid actief wordt uitgebuit. Het agentschap heeft het beveiligingslek met hoge ernst nu gekoppeld aan ransomware-campagnes die zich richten op kwetsbare SharePoint-servers.

De kwetsbaarheid, gevolgd als CVE-2026-45659, wordt sinds begin juli beschouwd als actief uitgebuit. Het was ook een van de drie opkomende SharePoint-kwetsbaarheden die eerder door CISA werden gemarkeerd.

CVE-2026-45659 kan uitvoering van externe code mogelijk maken

CVE-2026-45659 treft niet-gepatchte SharePoint Enterprise Server 2016, SharePoint Server 2019 en SharePoint Server Subscription Edition.

De kwetsbaarheid komt voort uit onveilige deserialisatie en kan aanvallers met lage rechten in staat stellen willekeurige code uit te voeren op getroffen servers.

Microsoft beschreef de uitbuiting eerder als relatief eenvoudig en zei dat aanvallers weinig voorkennis van het doelsysteem nodig hebben.

CISA beval federale agentschappen om de kwetsbaarheid te patchen

CISA voegde CVE-2026-45659 op 1 juli toe aan de Known Exploited Vulnerabilities Catalog en gaf Federal Civilian Executive Branch-agentschappen drie dagen om getroffen SharePoint-servers te beveiligen.

Het agentschap waarschuwde dat dit soort kwetsbaarheden vaak kwaadwillenden aantrekt en aanzienlijke risico’s vormt voor federale organisaties.

Later adviseerde CISA organisaties om de nieuwste beveiligingsupdates van Microsoft te installeren, te controleren of patches succesvol zijn toegepast, SharePoint-servers te monitoren op tekenen van inbraak en de tijd tussen patchbeschikbaarheid en -toepassing te verkorten.

Honderden SharePoint-servers blijven naar verluidt kwetsbaar

Meer dan 200 SharePoint-systemen zijn naar verluidt nog steeds ongepatcht tegen CVE-2026-45659, waardoor ze blootstaan aan mogelijke aanvallen.

Microsoft heeft zijn eigen CVE-advies nog niet bijgewerkt om de kwetsbaarheid officieel als actief uitgebuit in het wild te markeren.

Ondertussen, in ander beveiligingsnieuws, waarschuwt Microsoft voor nieuwe StormEncryptor-ransomware.

Via BleepingComputer