LONDON (IT BOLTWISE) – Die US-Behörde CISA hat zwei kritisch ausgenutzte Schwachstellen in Microsoft SharePoint und Check Point SmartConsole in den Katalog aufgenommen. Besonders heikel ist CVE-2026-50522 mit einem CVSS-Score von 9,8, weil nicht authentifizierte Angreifer Code ausführen und anschließend sogar nach einem Patch dauerhaft zurückkehren können. Betroffene Systeme wurden bereits angegriffen, während für US-Bundesbehörden eine enge Fix-Frist bis zum 25. Juli 2026 gilt. Für Unternehmen auch außerhalb der USA läuft damit die Zeit deutlich schneller als viele Patch-Zyklen.
Die aktuelle CISA-Mitteilung dreht sich weniger um ein theoretisches Risiko, sondern um eine bereits laufende Ausnutzung in der Praxis. Zwei Schwachstellen tauchen damit in einem Umfeld auf, das Security-Teams aus bisherigen Vorfällen kennen: Sobald eine kritische Lücke zuverlässig kompromittiert und auch nach dem Patch weiter genutzt werden kann, wird aus dem reinen Vulnerability-Management ein Incident-Response-Problem. Für Organisationen in Deutschland bedeutet das vor allem eins: Priorisierung nach Ausnutzbarkeit, nicht nach Ticket-Backlog. Im Fokus stehen zum einen eine SharePoint-Deserialisierungslücke und zum anderen eine Authentifizierungsumgehung in der Management-Komponente von SmartConsole.
Bei Microsoft SharePoint ist CVE-2026-50522 der zentrale Treiber. Der CVSS-Score wird in der CISA-Einordnung mit 9,8 als höchster Risikostufe angegeben. Technisch handelt es sich um eine Deserialisierungs-Schwachstelle, die Angreifern ohne gültige Authentifizierung die Ausführung beliebigen Codes auf lokalen SharePoint-Servern ermöglicht. Besonders kritisch wird es durch die beobachtete Folgeaktivität: Sicherheitsforscher von watchTowr und Defused haben gesehen, dass Angreifer dafür ASP.NET-Maschinenkeys stehlen. Diese Schlüssel sind nicht nur für die aktuelle Session relevant, sondern können als Grundlage dienen, um Zugriffe auch nach einem Patch dauerhaft aufrechtzuerhalten. Genau dieser Punkt erklärt, warum viele Teams nach dem Einspielen eines Fixes zunächst „grünes Licht“ erwarten, während die Angreifer längst die nächste Phase planen.
Die Details zur Angriffsoberfläche lassen Rückschlüsse auf die Angriffsstrategie zu. In der Quellenlage heißt es, dass rund 1.500 internetzugängliche SharePoint-Server noch nicht geschwächt gehärtet bzw. nicht gepatcht waren, wobei ein erheblicher Teil in den USA liegen soll. Auch wenn solche Zahlen immer mit Vorsicht zu interpretieren sind, zeigen sie doch das Muster: Skalierbare Erstzugriffe über öffentliche Endpunkte, danach gezielte Persistenz. Der Patch kam laut Bericht am 14. Juli 2026 im Rahmen des Patch-Dienstags; erste Angriffsversuche wurden drei Tage später registriert. Ein öffentlich verfügbarer Proof-of-Concept-Exploit wiederum wird am 20. Juli als Auslöser für eine breite Angriffswelle beschrieben. Das ist ein klassischer Timing-Loop: Fix verfügbar, Exploit-Qualität steigt, Automatisierung nimmt zu.
Die zweite Meldung betrifft Check Point SmartConsole mit CVE-2026-16232. Auch hier wird eine sehr hohe Bewertung genannt: Der CVSS-Wert liegt zwischen 9,1 und 9,3. Die Schwachstelle betrifft demnach die Management-Schicht, denn sie umgeht die Authentifizierung und verschafft Angreifern vollständige administrative Kontrolle über den Security Management Server. Betroffen sind Versionen von R77.30 bis R82.10. Für die Praxis heißt das: Selbst wenn Firewalls oder klassische Zugriffsregeln gut eingestellt sind, ist der Kompromittierungsweg im Kern dort, wo Administratorfunktionen gebündelt sind. Wenn außerdem bereits mehrere IP-Adressen in Verbindung mit Angriffen identifiziert wurden, ist das ein starkes Signal, dass Security-Teams nicht nur „Patch ja/nein“ prüfen sollten, sondern aktiv nach Kompromittierung suchen und die Management-Schnittstellen konsequent absichern.
Wichtig ist dabei der Kontext, den die Meldung explizit macht: Patchen allein reicht in der SharePoint-Story nicht, weil das Angriffsmuster auf das Entwerten gestohlener Schlüssel angewiesen ist, aber eben nicht nur auf den reinen Code-Execution-Schritt. Für CVE-2026-50522 werden als zusätzliche Maßnahmen genannt, unter anderem das Zurücksetzen der ASP.NET-Maschinenkeys, um gestohlene Schlüssel praktisch unbrauchbar zu machen. Ebenso gefordert ist eine Suche nach Webshells und anderen Spuren einer Kompromittierung. Außerdem soll der Netzwerkzugriff auf Management-Schnittstellen eingeschränkt werden, unter anderem durch identitätsbasierte Reverse-Proxies. Dieser Abschnitt macht deutlich, warum sich die Abwehrstrategie in solchen Fällen verschiebt: Es geht nicht nur um die Behebung der Schwachstelle, sondern um das „Abschneiden“ der Persistenz und um die Reduktion der Angriffsfläche für den nächsten Schritt des Angreifers.
Damit rückt auch die organisationale Seite der IT-Sicherheit in den Vordergrund. Die Quellenlage verweist darauf, dass Angreifer neben technischen Schwachstellen häufig psychologische Manipulationstaktiken einsetzen, um Zugriff auf Unternehmensnetzwerke zu erlangen. Für Führungsebenen und Security-Verantwortliche ist das eine konkrete Übersetzung: Wenn Management-Komponenten und öffentlich erreichbare Portale im Fokus stehen, sollten Trainings- und Phishing-Abwehrmaßnahmen nicht als „nice to have“ behandelt werden, sondern als Teil der Gesamtstrategie. Gleichzeitig unterstreicht die CISA-Frist für Bundesbehörden bis zum 25. Juli 2026 die Dringlichkeit, denn sie zeigt, dass die Behörde von laufenden oder unmittelbar bevorstehenden Risiken ausgeht. Unternehmen in Deutschland sollten diesen Zeitplan nicht als US-only betrachten, weil die Angriffswege technisch grenzüberschreitend funktionieren.
Für die nächsten Tage empfiehlt sich daher ein zweistufiges Vorgehen, das sich an der Struktur der beiden CVEs orientiert: Erstens die schnelle technische Schließung durch Updates für SharePoint und SmartConsole, zweitens die unabhängige Verifikation, dass Persistenzpfade wirklich gekappt wurden. Bei SharePoint ist das besonders mit Blick auf Maschinenkeys und potenzielle Webshells zu begründen, bei SmartConsole mit Blick auf die Managementzugriffe und mögliche Spuren auf dem Security Management Server. Historisch kennen viele Organisationen ähnliche Situationen aus der Vergangenheit: Sobald ein Exploit „im Umlauf“ ist und Angreifer erfolgreich umpatchbare Elemente wie Schlüsselmaterial oder Webshell-Deployments etablieren konnten, wird der Aufwand nachträglich deutlich größer. Wer jetzt strukturiert handelt, reduziert das Risiko, dass aus einem Patch-Fenster ein monatelanger Bereinigungsauftrag wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CISA warnt vor aktiven SharePoint- und SmartConsole-Angriffen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CISA warnt vor aktiven SharePoint- und SmartConsole-Angriffen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CISA warnt vor aktiven SharePoint- und SmartConsole-Angriffen« bei Google Deutschland suchen, bei Bing oder Google News!