CISA warnt SharePoint-Lücke wird für Ransomware-Angriffe genutzt
Die US-Cybersicherheitsbehörde CISA hat bestätigt, dass eine kritische Schwachstelle in Microsoft SharePoint aktiv von Ransomware-Gruppen ausgenutzt wird, was ungepatchte Server einem unmittelbaren Risiko aussetzt.
Was ist passiert
11. August 2026 – Die US-amerikanische Agentur für Cybersicherheit und Infrastruktursicherheit (CISA) hat bestätigt, dass eine kritische Schwachstelle in Microsoft SharePoint, einer weit verbreiteten Unternehmenssoftware, nun aktiv von Ransomware-Gruppen ausgenutzt wird. Die Behörde gab diese wichtige Information durch ein Update ihres Katalogs bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) bekannt. Diese Entwicklung lässt bei Tausenden von Organisationen, die SharePoint-Server verwalten, die Alarmglocken schrillen.
Die betreffende Schwachstelle wird unter der Kennung CVE-2026-45659 geführt und als hochriskante Schwachstelle zur Remotecodeausführung (RCE) eingestuft. Ursprünglich Anfang Juli von der CISA als aktiv ausgenutzt identifiziert, ist diese Lücke nun auch auf dem Radar von Ransomware-Gruppen aufgetaucht. Die Nutzung dieser Schwachstelle durch Ransomware-Akteure könnte weitaus verheerendere Folgen haben als ein einfacher Systemeinbruch, einschließlich der Verschlüsselung sämtlicher Unternehmensdaten und eines vollständigen Betriebsstopps. Die Bestätigung durch die CISA erhöht die Schwere der Bedrohung und ist ein dringender Aufruf zum Handeln an alle Systemadministratoren. Die Behörde hatte Bundesbehörden bereits im Juli eine knappe Frist von nur drei Tagen gesetzt, um diese Lücke zu schließen, was die erhebliche Gefahr zusätzlich unterstreicht.
Welche Daten wurden kompromittiert
Es gibt noch keine detaillierten Angaben darüber, welche spezifischen Datentypen bei diesen Angriffen kompromittiert wurden. Aufgrund der Art des Angriffs sind jedoch potenziell alle Daten auf einem ungepatchten SharePoint-Server gefährdet. SharePoint ist eine zentrale Plattform, die von Organisationen zur Speicherung sensibler Dokumente, interner Kommunikation, Projektpläne, Finanzberichte und personenbezogener Daten genutzt wird. Ein Angreifer, der über diese Schwachstelle in einen Server eindringt, könnte daher theoretisch auf all diese Informationen zugreifen.
Moderne Ransomware-Angriffe wenden oft eine „doppelte Erpressungstaktik“ (Double Extortion) an. Bei dieser Strategie verschlüsseln die Angreifer die Daten nicht nur, sondern exfiltrieren auch Kopien auf ihre eigenen Server. Weigert sich das Opfer, das Lösegeld zu zahlen, drohen die Angreifer damit, die Daten zu veröffentlichen oder im Darknet zu verkaufen. Folglich ist eine Organisation, die über die Schwachstelle CVE-2026-45659 angegriffen wird, nicht nur mit einem Betriebsausfall, sondern auch mit dem schweren Risiko eines Datenlecks und eines Reputationsschadens konfrontiert. Sie können unsere Datenleck Suche verwenden, um herauszufinden, ob die Daten Ihrer Organisation kompromittiert wurden.
Wie geschah der Angriff
Die technische Grundlage des Angriffs ist die Sicherheitsschwachstelle mit dem Code CVE-2026-45659. Diese Lücke resultiert aus einer Schwäche, die als „Deserialisierung von nicht vertrauenswürdigen Daten“ bekannt ist. Vereinfacht ausgedrückt führt der SharePoint-Server keine ausreichenden Sicherheitsprüfungen durch, wenn er ein speziell präpariertes, bösartiges Datenpaket von einer externen Quelle verarbeitet. Dies ermöglicht es einem Angreifer, aus der Ferne beliebigen Code auf dem Server auszuführen.
Laut einem im Mai von Microsoft veröffentlichten Sicherheitsbulletin benötigt ein Angreifer keine hohen Berechtigungen, um diesen Angriff durchzuführen; ein Konto mit geringen Privilegien ist ausreichend. Darüber hinaus wird die Komplexität des Angriffs als „gering“ eingestuft. Das bedeutet, dass ein Angreifer mit einem bekannten Exploit-Code leicht und wiederholt erfolgreiche Angriffe durchführen kann, ohne tiefgreifende Kenntnisse des Zielsystems zu benötigen. Diese Eigenschaften machen CVE-2026-45659 zu einem sehr attraktiven Ziel für Cyberkriminelle, insbesondere für Ransomware-Gruppen. Für Informationen über andere Cybersicherheitsvorfälle können Sie unsere Seite Datenleck Nachrichten verfolgen.
Wer ist betroffen
Alle Institutionen und Organisationen, die die folgenden Versionen von Microsoft SharePoint verwenden, sind direkt von dieser Schwachstelle betroffen:
- SharePoint Enterprise Server 2016
- SharePoint Server 2019
- SharePoint Server Subscription Edition
Nach Angaben der Internet-Sicherheitsbeobachtungsgruppe Shadowserver gibt es derzeit über 8.500 öffentlich zugängliche Microsoft SharePoint-Server. Noch beunruhigender ist, dass über 200 dieser Server immer noch nicht gegen die Schwachstelle CVE-2026-45659 gepatcht sind. Diese Server sind erstklassige Ziele für Ransomware-Gruppen. Das Risiko beschränkt sich jedoch nicht nur auf Server, die dem Internet ausgesetzt sind. Ungepatchte Server in einem internen Netzwerk können auch als wertvolles Sprungbrett für einen Angreifer dienen, der bereits auf andere Weise in das Netzwerk eingedrungen ist.
Was können Sie tun
Die CISA empfiehlt eine Reihe konkreter Schritte, damit sich Organisationen vor dieser ernsten Bedrohung schützen können. Es ist von entscheidender Bedeutung, dass Systemadministratoren und Sicherheitsteams unverzüglich die folgenden Maßnahmen ergreifen:
- Sofort patchen: Der grundlegendste und wichtigste Schritt ist die sofortige Anwendung der von Microsoft im Mai 2026 für diese Schwachstelle veröffentlichten Sicherheitsupdates auf allen betroffenen SharePoint-Servern.
- Installation überprüfen: Stellen Sie nach der Bereitstellung des Patches sicher, dass das Update erfolgreich angewendet wurde und der Server nicht mehr anfällig ist.
- Auf Anzeichen einer Ausnutzung überwachen: Überprüfen Sie Ihre Server auf Anzeichen einer vergangenen oder gegenwärtigen Kompromittierung. Untersuchen Sie sorgfältig Systemprotokolle, verdächtigen Netzwerkverkehr und unerwartete Prozesse.
- Patch-Zyklen verkürzen: Die CISA rät Organisationen, sich generell anzugewöhnen, Patches schneller anzuwenden, d.h. ihre Patch-Zyklen zu verkürzen.
- Zusätzliche Sicherheitsebenen aktivieren: Die CISA empfiehlt insbesondere die Aktivierung der Windows Antimalware Scan Interface (AMSI)-Integration für SharePoint-Webanwendungen. Darüber hinaus kann das Aktualisieren von Sicherheitssoftware wie Microsoft Defender Antivirus (MDAV) mit den neuesten Erkennungssignaturen helfen, einen potenziellen Angriff zu erkennen und zu blockieren.
Was sagt das Unternehmen
Zum Zeitpunkt der Erstellung dieses Berichts ergibt sich eine interessante Situation. Während die CISA offiziell bestätigt hat, dass die Schwachstelle CVE-2026-45659 sowohl aktiv ausgenutzt als auch bei Ransomware-Angriffen verwendet wird, hat der Softwareentwickler Microsoft seine eigene Sicherheitsempfehlung noch nicht entsprechend aktualisiert. Auf der Seite von Microsoft fehlt ein Hinweis darauf, dass die Schwachstelle ausgenutzt wird. Diese Situation zeigt, dass Regierungsbehörden Bedrohungsinformationen manchmal schneller bestätigen können als die Unternehmen selbst.
Ein ähnliches Szenario ereignete sich bei der Microsoft Defender-Privilegieneskalationsschwachstelle BlueHammer (CVE-2026-33825), deren Nutzung durch Ransomware-Gruppen die CISA im Juni bestätigte. Auch bei dieser Schwachstelle gab Microsoft trotz der Warnung der CISA keine öffentliche Bestätigung der Ausnutzung ab. Dies unterstreicht einmal mehr, wie wichtig es für Organisationen ist, nicht nur die Warnungen von Softwareanbietern, sondern auch von vertrauenswürdigen Regierungsbehörden wie der CISA genau zu verfolgen.
Quelle
Dieser Inhalt wurde mithilfe künstlicher Intelligenz über unsere Argus Flow-Anwendung erstellt. Wir arbeiten kontinuierlich an der Verbesserung von Argus Flow; sollten Sie auf Übersetzungsfehler, falsche Quellen oder unbestätigte Informationen stoßen, können Sie uns dies über die Schaltfläche unten melden. Wir danken Ihnen für Ihr Feedback.