CISA bekräftar att SharePoint-sårbarhet används i ransomware-attacker

CISA har bekräftat att en Microsoft SharePoint-sårbarhet som spåras som CVE-2026-45659 nu används i ransomware-attacker.

Förra månaden varnade CISA för att en ny SharePoint-sårbarhet utnyttjas. Myndigheten har nu kopplat den allvarliga sårbarheten till ransomware-kampanjer som riktar sig mot sårbara SharePoint-servrar.

Sårbarheten, som spåras som CVE-2026-45659, har ansetts vara aktivt utnyttjad sedan början av juli. Det var också en av de tre framväxande SharePoint-bristerna som CISA tidigare flaggat för.

CVE-2026-45659 kan möjliggöra fjärrkörning av kod

CVE-2026-45659 påverkar opatchade SharePoint Enterprise Server 2016, SharePoint Server 2019 och SharePoint Server Subscription Edition.

Sårbarheten härrör från osäker deserialisering och kan tillåta angripare med låga behörigheter att köra godtycklig kod på drabbade servrar.

Microsoft beskrev tidigare exploateringen som relativt låg komplexitet och sade att angripare behöver lite förkunskap om det riktade systemet.

CISA beordrade federala myndigheter att patcha sårbarheten

CISA lade till CVE-2026-45659 i sin katalog över kända exploaterade sårbarheter den 1 juli och gav myndigheter inom den federala civila verkställande grenen tre dagar att säkra drabbade SharePoint-servrar.

Myndigheten varnade för att sårbarheter av denna typ ofta lockar illasinnade aktörer och utgör betydande risker för federala organisationer.

CISA rådde senare organisationer att installera Microsofts senaste säkerhetsuppdateringar, bekräfta att patcharna tillämpades korrekt, övervaka SharePoint-servrar efter tecken på intrång och minska patchningsfördröjningar.

Hundratals SharePoint-servrar uppges förbli sårbara

Över 200 SharePoint-system uppges förbli opatchade mot CVE-2026-45659, vilket lämnar dem exponerade för potentiella attacker.

Microsoft har ännu inte uppdaterat sin egen CVE-rådgivning för att officiellt markera sårbarheten som utnyttjad i verkligheten.

Under tiden, i andra säkerhetsnyheter, varnar Microsoft för ny StormEncryptor ransomware.

Via BleepingComputer