LONDON (IT BOLTWISE) – Der SharePoint-RCE CVE-2026-58644 wird laut den beschriebenen Angriffsmustern weiterhin ausgenutzt, obwohl ein Patch bereits am 14. Juli 2026 veröffentlicht wurde. Die ToolShell-Kette stiehlt MachineKey-Werte aus dem web.config und macht den Angriff damit auch nach der Korrektur persistent. Wer nur das Update einspielt, bleibt demnach bis zur vollständigen Rotation der kryptografischen Schlüssel im gesamten Farmverbund kompromittiert. Damit verschiebt sich der Fokus von reiner Perimeter-Abwehr hin zur Absicherung von Anwendungs- und Identitätsmaterial.
Der Kern des Problems bei CVE-2026-58644 wirkt auf den ersten Blick simpel: SharePoint Server bleibt nach dem Patch weiter verwundbar, weil die Angreifer nicht nur Code ausführen, sondern später auch kryptografisch gültige Zugriffsartefakte erzeugen. Die ToolShell-Kette nutzt dazu die Tatsache, dass SharePoint in vielen Setups seine eigenen Identitäts- und Validierungsmechanismen über Schlüsselmaterial absichert. Wenn dieses Material einmal ausgelesen wurde, bleibt die Attacke über den ursprünglichen Exploit-Vorgang hinaus nutzbar – und genau das erklärt, warum „Patchen“ allein in der Praxis nicht automatisch zur vollständigen Bereinigung führt.
Technisch betrachtet startet ToolShell mit einem unauthentifizierten HTTP-POST an den SharePoint ToolPane Endpoint. Die Schwachstelle liegt in einer unsachgemäßen Deserialisierung von nicht vertrauenswürdigen Daten (CWE-502), was im Angriffsszenario zur Remote Code Execution unter der Identität des SharePoint Application Pools führt. In der nächsten Phase wird ein Webshell-Ansatz abgelegt, konkret als spinstall0.aspx im LAYOUTS-Verzeichnis. An dieser Stelle würden klassische Incident-Response-Playbooks häufig ansetzen, weil ein Webshell-Eintrag ein starkes Indiz für aktiven Zugriff ist. Doch ToolShell endet damit nicht: In den folgenden Stufen greift die Webshell direkt auf die MachineKey-Werte zu, die in der web.config gespeichert sind.
Entscheidend ist dabei die Persistenzlogik: Die Angreifer lesen die validationKey- und decryptionKey-Werte aus der web.config aus. Mit diesen Keys können sie anschließend offline ViewState-Payloads sowie Forms-Authentication-Tickets fälschen und die Kryptoprüfungen der Plattform erfolgreich passieren, selbst wenn die originale Webshell inzwischen entfernt wurde. Das bedeutet für die Verteidigung, dass der eigentliche „Hebel“ nicht nur die anfängliche Ausführung von Code ist, sondern die Fähigkeit, kryptografisch korrekte Token zu generieren. So kann ein Angreifer später Code-Ausführung auf jedem Server innerhalb der SharePoint-Farm erreichen, ohne erneut mit dem ursprünglichen Webshell-Speicherpunkt interagieren zu müssen.
Damit verschiebt sich auch die Sicherheitsarchitektur im Kopf der Teams: Wenn eine Anwendung wie SharePoint die Schlüssel verwaltet, die zur Validierung von Sitzungen und Zustandsdaten nötig sind, dann fungiert die Anwendung praktisch als Teil einer Identitätsgrundlage. Der Patch adressiert zwar die RCE-Komponente, aber er „widerruft“ nicht automatisch den Informationsabfluss, der vor der Remediation stattgefunden hat. In dem beschriebenen Muster bleiben Organisationen also bis zur vollständigen Rotation der MachineKey-Werte über alle Server der SharePoint-Farm kompromittiert, weil nur ein Schlüsselwechsel die offline erzeugten, bereits potenziell missbrauchten Kryptogramme ungültig macht.
Der zeitliche Verlauf unterstreicht das Ausmaß des Problems. Die Ausnutzung soll bereits am 15. Juli 2026 bestätigt worden sein, bevor CVE-2026-58644 am 16. Juli 2026 in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen und für eine bundesweite Remediation bis zum 19. Juli adressiert wurde. Zusätzlich wird im selben Kontext auf weitere SharePoint-Angriffe verwiesen: Im Jahr 2026 seien fünf verschiedene SharePoint-Schwachstellen in freier Wildbahn ausgenutzt worden; der KEV-Katalog enthalte 12 Einträge mit SharePoint-Bezug, davon sieben mit Nutzung in Ransomware-Kampagnen. Für Betreiber heißt das: Selbst wenn ein einzelnes Update zügig eingespielt wird, bleibt die Umgebung häufig in einem Zustand, in dem andere Komponenten oder andere anfällige Pfade bereits „angeschoben“ wurden.
Diese Entwicklung passt zu einem breiteren Trend, der in der Sicherheitslandschaft seit Jahren diskutiert wird: Die Angriffsfläche wandert vom Netzwerkrand in Richtung Anwendungs- und Konfigurationsschichten. Der beschriebene Mechanismus ähnelt dem Grundmuster, das man aus anderen Vorfällen kennt, bei denen nicht nur Services selbst kompromittiert werden, sondern auch die Materialien, die diese Services als Vertrauensanker nutzen. Dadurch verschwimmt die klare Trennlinie zwischen „Application Infrastructure“ und „Identity Control Plane“. Für Security-Teams folgt daraus eine anspruchsvollere Priorisierung: Konfigurationsdateien und kryptografische Schlüssel müssen ähnlich streng behandelt werden wie Domain-Controller- oder Identity-Provider-Komponenten – inklusive kontrollierter Zugriffswege, engmaschiger Verifikation und klarer Rotation nach Verdacht.
Für die Praxis bedeutet das neben dem reinen Patch-Management vor allem eine robuste Schlüssel- und Integritätsstrategie. Wenn ToolShell erfolgreich war, reicht das Schließen des RCE-Vektors nicht; stattdessen braucht es einen Farm-weiten MachineKey-Rollout, der sicherstellt, dass keine serverseitig gültigen Token mehr auf die alten validationKey- und decryptionKey-Werte vertrauen können. Daneben sollten Teams die Umgebung auf typische Folgespuren prüfen, die zu spinstall0.aspx und zu späteren ViewState- bzw. Ticket-Fälschungen passen könnten. Wer das bereits laufende Muster ernst nimmt, behandelt SharePoint nicht nur als Kollaborationsplattform, sondern als sicherheitsrelevante Identitätskomponente – mit allen Konsequenzen für Betrieb, Monitoring und Response.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ToolShell bei SharePoint: Patch reicht nicht ohne MachineKey-Rotation" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ToolShell bei SharePoint: Patch reicht nicht ohne MachineKey-Rotation" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ToolShell bei SharePoint: Patch reicht nicht ohne MachineKey-Rotation« bei Google Deutschland suchen, bei Bing oder Google News!