LONDON (IT BOLTWISE) – CISA stuft eine Microsoft-SharePoint-Schwachstelle als hochkritisch ein und warnt vor aktiv ausnutzenden Ransomware-Angriffen. Die Lücke CVE-2026-45659 ermöglicht bereits mit minimalen Rechten eine ferngesteuerte Codeausführung. Besonders brisant: Angreifer zielen anschließend auf den Diebstahl von Maschinenschlüsseln, um Authentifizierungstoken zu fälschen und sich lateral im Netzwerk auszubreiten. Microsoft hat zwar bereits Sicherheitsupdates veröffentlicht, doch für Administratoren bleibt der Patch-Stand entscheidend.
Die Warnung ist konkret und zugleich unbequem: Die US-Sicherheitsbehörde CISA hat eine Microsoft-SharePoint-Schwachstelle in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen, weil Angreifer sie nachweislich für Ransomware-Angriffe nutzen. Im Zentrum steht CVE-2026-45659 mit einem CVSS-Score von 8, 8, also einem Wert, der in der Praxis häufig mit „zeitkritischer“ Ausnutzung gleichgesetzt wird. Die Meldung macht klar, warum SharePoint in vielen Unternehmen längst nicht mehr nur als Dokumentenablage gilt, sondern als zentraler Bestandteil von Identity- und Bereitstellungsflüssen.
Technisch geht es bei der Lücke um eine ferngesteuerte Codeausführung (RCE), die authentifizierten Angreifern bereits mit minimalen Berechtigungen möglich sein soll. Damit wird aus einem anfänglich begrenzten Zugriff schnell ein Werkzeug für die vollständige Kompromittierung einzelner SharePoint-Farm-Server. Entscheidend für den Angriffserfolg ist danach weniger die erste Execution, sondern die nächste Stufe: der Diebstahl von Maschinenschlüsseln. Wer diese Schlüssel erbeutet, kann Authentifizierungstoken fälschen und dadurch scheinbar „legitime“ Zugriffe erzeugen. In Angriffsketten verschiebt das den Schwerpunkt von Exploit zu Identitätsmissbrauch.
Der Timing-Aspekt verschärft die Lage zusätzlich. Laut Bericht hatte Microsoft bereits im Mai 2026 Sicherheitsupdates für mehrere SharePoint-Generationen veröffentlicht, darunter SharePoint Server Subscription Edition, SharePoint Server 2019 und SharePoint Server 2016. Trotzdem bleibt die Bedrohung akut, weil betroffene Umgebungen in der Realität oft heterogen sind: unterschiedliche Farm-Versionen, verzögerte Wartungsfenster, teils manuelle Rollout-Prozesse. Besonders aufmerksam sollten Administratoren auf den 14. Juli 2026 achten, wenn kumulative Updates laut Meldung eine Schutzkomponente gegen Kerberos-RC4-Rollback-Kontrollen auf Domain-Controllern dauerhaft entfernen. Das ist kein reines Patch-Detail, sondern eine Sicherheitslogik, die in Active Directory-Setups sauber validiert werden muss.
Aus Marktsicht fällt auf, dass nicht nur eine RCE-Lücke im Raum steht, sondern dass sich das Muster „Tooling + Automatisierung + schnelle Seitwärtsbewegung“ etabliert hat. Zwei unterschiedliche Bedrohungscluster werden mit der Ausnutzung in Verbindung gebracht: Die als Storm-2603 bekannte Gruppe setzt die Verwundbarkeit gezielt für die Verbreitung der Warlock-Ransomware ein. Eine zweite Gruppierung soll neben DLL-Seitenladetechniken auch maßgeschneiderte Hintertüren nutzen, um in kompromittierten Umgebungen dauerhaft Fuß zu fassen. Solche Unterschiede deuten darauf hin, dass Angreifer SharePoint nicht als Einmal-Exploit betrachten, sondern als wiederverwendbare Eintrittsschicht in Unternehmensnetzwerke. Als Gegenstück zeigt der Blick auf andere CISA-KEV-Einträge, dass Content- und Plattformangriffe parallel laufen.
Die Zahlen aus der Beobachtung untermauern den operativen Druck. Eye Security habe demnach über 8.000 Server gescannt und Dutzende kompromittierte Instanzen gefunden; das ist wichtig, weil es die Annahme widerlegt, „nur wenige“ würden betroffen sein. Noch stärker wirkt die Aussage zur Geschwindigkeit automatisierter Angriffe: Öffentliche Zugangsdaten wie AWS-Keys sollen im Durchschnitt innerhalb von 17 Minuten abgegriffen werden, in Einzelfällen bereits nach neun Minuten. Übertragen auf die SharePoint-ToolShell-Thematik entsteht ein plausibles Bild: Sobald ein System durch Scans und bekannte Schwachstellen „auffindbar“ wird, wird der Rest der Kette durch Automation abgearbeitet. Für die Verteidigung bedeutet das: Patchen allein reicht nicht, wenn Monitoring und Token-/Schlüssel-Schutz nicht mitziehen.
Auch die Branchenlandschaft zeigt, dass das Feld nicht monokulturell bleibt. Neben den SharePoint-Ereignissen werden im gleichen Zeitraum weitere CISA-Aufnahmen genannt, darunter CVE-2026-48939 in iCagenda (CVSS 10, 0), CVE-2026-56291 in Balbooa Forms, CVE-2025-34291 in Langflow sowie CVE-2026-34926 in Trend Micro Apex One. Das wirkt wie ein Hinweis darauf, dass Angreifer nicht nur „eine“ Lücke abarbeiten, sondern ganze Angriffsflächen über CMS, Web-Frameworks und Security-Tooling hinweg orchestrieren. Als weiteres Signal ordnete Progress Software am 10. Juli 2026 die sofortige manuelle Abschaltung aller lokalen ShareFile Storage Zone Controller v5.x-Instanzen an, nachdem eine Pre-Authentifizierungs-RCE-Kette (CVE-2026-2699 und CVE-2026-2701) entdeckt worden sein soll. Damit wird deutlich: Selbst Hersteller-seitige Rollen und Komponenten rund um Content-Zugriff sind zunehmend Ziel automatisierter Kampagnen.
Für Unternehmen ist damit vor allem die Kombination aus Infrastruktur und Identität im Blick zu behalten. SharePoint-Farmen brauchen nicht nur „Server gepatcht ja/nein“, sondern eine nachvollziehbare Sicherheitsbasis: alle Farm-Server müssen aktualisiert sein, und die Defender-Engine-Version sollte laut Meldung mindestens 1.1.26060.3008 erreichen. Gleichzeitig sollten Teams ihre Token- und Schlüsselstrategie prüfen: Wenn Maschinenschlüssel gestohlen werden, ist das oft eine Eintrittskarte in laterale Bewegung quer durch das Netzwerk, weil Authentifizierungspfad und Berechtigungsmodell „weitergedacht“ werden müssen. Ergänzend sollte man Logging und Incident Response so auslegen, dass ungewöhnliche Token-Validierungen, abweichende Berechtigungsnutzungen und ungewöhnliche Zugriffe auf Domain-Controller schneller auffallen.
Der Ausblick hängt weniger von einem einzelnen Patch ab, sondern von der Entwicklung der Angriffsmuster. Das Regierungswarnsignal über KEV ist ein Frühindikator dafür, dass Exploits zeitnah in Werkzeugketten landen. Die Nennung verwandter SharePoint-ToolShell-Schwachstellen innerhalb weniger Tage nach Offenlegung zeigt zudem, dass „Exploit-Kaskaden“ realistisch sind: Erst RCE, dann Persistenz, dann Identitätsmissbrauch, schließlich Verschlüsselung und Eskalation. Für die Zukunft werden Unternehmen deshalb stärker in präventive Kontrollen investieren müssen, etwa in schnelleren Patch- und Rollback-Prozessen, in Schlüsselrotation nach Incident-Indikatoren und in Security-Testing für verteilte SharePoint-Farmen. Wer diese Disziplin aufbaut, reduziert nicht nur das Ransomware-Risiko, sondern schafft auch bessere Grundlagen für skalierbare KI-gestützte Monitoring-Workflows in der Unternehmenssicherheit.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SharePoint-RCE mit CVSS 8, 8: Maschinenschlüssel werden in Minuten entwendet" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SharePoint-RCE mit CVSS 8, 8: Maschinenschlüssel werden in Minuten entwendet" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SharePoint-RCE mit CVSS 8, 8: Maschinenschlüssel werden in Minuten entwendet« bei Google Deutschland suchen, bei Bing oder Google News!