WASHINGTON / LONDON (IT BOLTWISE) – Die US-Sicherheitsbehörde CISA hat die SharePoint-Schwachstelle CVE-2026-45659 in den KEV-Katalog für aktiv ausgenutzte Lücken aufgenommen. Mehrere Angreifercluster setzen dabei nach der Initialkompromittierung auf Ransomware und persistente DLL-Seitenladetechniken. Besonders kritisch: Ein authentifizierter Angreifer mit minimalen Rechten kann laut Analyse Code aus der Ferne ausführen. Für Unternehmen wird damit das Priorisieren von Patches, das Schließen von Identitätsrisiken und das Durchsuchen auf Post-Exploitation-Indikatoren zur Sofortaufgabe.
CISA nimmt die Sicherheitslücke CVE-2026-45659 in Microsofts SharePoint Server in den Katalog bekannter, aktiv ausgenutzter Schwachstellen (KEV) auf. Damit steigt der Druck, Patch- und Suchmaßnahmen nicht nur als „Good Practice“, sondern als Sicherheits- und Compliance-Thema zu behandeln. Der Hintergrund ist eindeutig: Angreifer nutzen die Lücke bereits in freier Wildbahn, und die Erfolgsquote wird durch nachgelagerte Erpressungs- und Persistenzmechanismen erhöht. Für IT-Betriebsteams ist das vor allem deshalb heikel, weil SharePoint häufig zentral für Dokumente, Workflows und Berechtigungen eingesetzt wird und ein Kompromiss schnell auf weitere Systeme ausstrahlt.
Technisch wird die Verwundbarkeit als besonders ernst eingestuft, weil ein Angreifer mit Authentifizierung und sehr geringen Benutzerrechten Code aus der Ferne ausführen kann. Der CVSS-Score von 8, 8 deutet auf eine Kombination aus Reichweite und Ausnutzbarkeit hin: Es braucht weniger Privilegien als bei vielen typischen Exploit-Chain-Szenarien. Der beschriebene Angriffspfad setzt außerdem auf den Diebstahl von Maschinenschlüsseln, die für die Ausstellung und Prüfung von Authentifizierungstokens relevant sind. Dadurch können Angreifer Token fälschen und sich lateral durch das Netzwerk bewegen, ohne sofort höhere Rechte erlangen zu müssen.
Ein weiterer Punkt, der die Lage verschärft, ist die offenbar parallele Nutzung durch unterschiedliche Bedrohungscluster. Sicherheitsforscher berichten von einer Gruppe mit dem Codenamen Storm-2603, die nach erfolgreicher Infiltration eine Erpressungssoftware (Warlock) nachlädt und auf Wirkungskette optimiert. Parallel dazu wird von einer zweiten Angriffswelle gesprochen, die auf DLL-Seitenladetechniken setzt, um sich dauerhaft auf kompromittierten Servern zu verankern. Genau diese Kombination aus „Impact“ (Ransomware) und „Stay-in-the-Box“ (Persistenz) macht die Response schwierig: Selbst nach einem Patch kann ein kompromittierter Endpunkt noch aktiv bleiben, wenn die Hintertür nicht erkannt wird.
Was die betroffenen Produkte betrifft, liegt der zeitliche Takt auf der Hand, aber die operative Umsetzung kommt oft zu spät. Microsoft habe die Lücke bereits im Mai 2026 geschlossen; Patches für SharePoint Server Subscription Edition, SharePoint Server 2019 und SharePoint Server 2016 seien Anfang des Jahres veröffentlicht worden. Das offizielle Sicherheitsbulletin sei jedoch erst am 21. Mai gefolgt. Für Unternehmen bedeutet das: Patch-Fenster müssen organisatorisch vom Veröffentlichungsdatum entkoppelt werden, sonst entstehen Lücken in der „Exploitation-to-Remediation“-Zeit. In solchen Phasen verschiebt sich die Risikoabwägung: nicht mehr „ob“ ein Angriff kommt, sondern „wie schnell“ er nach der Entdeckung stattfindet.
Im Marktkontext ist auffällig, dass diese KEV-Aufnahme in eine Woche fällt, in der weitere hochriskante Lücken adressiert wurden. Genannt werden separate kritische Fehler in Progress ShareFile-Speichercontrollern sowie in Apache HTTP/2-Komponenten. Das unterstreicht ein Grundmuster aktueller Kampagnen: Angreifer wählen nicht nur ein Ziel, sondern sie breiten ihre Chancen über mehrere Plattformen und Angriffsflächen aus. Für die Verteidigung heißt das, dass „Single-Vendor-Logik“ nicht reicht. Stattdessen braucht es eine zusammenhängende Sicherheitsarchitektur, die Logquellen, Schwachstellenmanagement und Incident Response über unterschiedliche Produkte hinweg korreliert.
Aus Expertensicht ist besonders riskant, dass serverseitige Geheimnisse wie Maschinenschlüssel offenbart werden können. Damit entsteht ein Langzeitproblem: Selbst wenn die ursprüngliche Schwachstelle geschlossen ist, lassen sich Standard-Authentifizierungsprotokolle unter Umständen weiterhin aushebeln. Für Identity- und Access-Teams ist daher nicht nur das Patchen, sondern auch das Ersetzen und Absichern der betroffenen Schlüsselmaterialien zentral. Praktisch heißt das: Zugriff auf serverseitige Geheimnisse muss restriktiver werden, und es sind Maßnahmen nötig, um die Auswirkungen kompromittierter Administratorkonten zu minimieren. Dazu passt auch der Ansatz, gezielt nach Post-Exploitation-Werkzeugen und Indikatoren wie nicht autorisierten ASPX-Webshells sowie ungewöhnlichen ausgehenden Verbindungen zu suchen.
Regulatorisch und datenschutzrechtlich rückt in solchen Vorfällen zusätzlich der Faktor Zeit in den Vordergrund. Wenn SharePoint-Daten im Spiel sind, betrifft das häufig personenbezogene Informationen, Metadaten zu Zusammenarbeit und Zugriffsrechte, wodurch je nach Rolle und Datenlage Pflichten aus der DSGVO entstehen können. Selbst bei „nur“ technischen Kompromittierungen kann eine forensische Bewertung nötig werden, um zu klären, welche Daten betroffen waren und wie lange Angreifer Zugang hatten. Ergänzend kommen unternehmensinterne Informationssicherheitsrichtlinien und Meldeprozesse hinzu, die in vielen Organisationen an definierte Schweregrade gekoppelt sind. In der Praxis sollte daher die technische Incident Response eng mit dem Datenschutz- und Compliance-Workflow verzahnt werden.
Für die Zukunft ist die wichtigste Implikation relativ klar: Unternehmen sollten ihren Umgang mit KEV-Einträgen weiter operationalisieren. Das betrifft die Priorisierung im Vulnerability-Management, das Ausrollen von Detektionslogik für DLL-Seitenladestechniken und Webshell-Muster sowie die Beschleunigung der „Containment“-Phase, sobald Anomalien auftreten. Entwickler und Security-Teams profitieren dabei doppelt: Zum einen lassen sich Härtungsmaßnahmen wie die konsequent reduzierte Token- und Rechtevergabe in bestehenden Use-Cases ausbauen. Zum anderen entsteht ein besserer Datenfundus für ML-gestützte Anomalieerkennung, sobald Telemetrie aus Patch-, Scan- und Incident-Daten konsistent zusammengeführt wird. Der nächste Schritt wird sein, Patchen nicht als Abschluss, sondern als Startpunkt für vollständige Wiederherstellung und Verifikation zu begreifen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CVE-2026-45659: Ransomware-Angriffen per SharePoint-Lücke einen Riegel vorschieben" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CVE-2026-45659: Ransomware-Angriffen per SharePoint-Lücke einen Riegel vorschieben" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CVE-2026-45659: Ransomware-Angriffen per SharePoint-Lücke einen Riegel vorschieben« bei Google Deutschland suchen, bei Bing oder Google News!