Attacken laufen bereits: Rund 1.300 Sharepoint-Instanzen sind angreifbar
Angreifer haben es wieder einmal auf Microsoft-Sharepoint-Instanzen abgesehen. Sie nutzen eine von Microsoft zum April-Patchday geschlossene Sicherheitslücke aus, die jedoch nach Angaben der Shadowserver Foundation(öffnet im neuen Fenster) auf etwa 1.300 Systemen noch ungepatcht ist. Besonders viele anfällige Instanzen gibt es unter anderem in Deutschland. Admins sollten zügig handeln.
Die genannte Sicherheitslücke ist als CVE-2026-32201(öffnet im neuen Fenster) registriert und erreicht mit einem CVSS-Wert von 6,5 einen mittelhohen Schweregrad. Angreifer können damit laut Microsoft über das Netzwerk einen nicht näher beschriebenen Spoofing-Angriff ausführen und bei Erfolg vertrauliche Informationen einsehen oder manipulieren.
Microsoft gab schon zum April-Patchday an, dass die Lücke aktiv ausgenutzt wird. Wie diese Angriffe im Detail ablaufen und wer genau dahinter steckt, schilderte der Konzern jedoch nicht. Als angreifbar gelten Microsoft Sharepoint Server 2016(öffnet im neuen Fenster), 2019(öffnet im neuen Fenster) und Subscription Edition(öffnet im neuen Fenster) (SE). Patches stehen für alle drei Varianten seit dem 14. April bereit.
Die zweitmeisten Instanzen stehen in Deutschland
Auf vielen Sharepoint-Instanzen scheinen die genannten Patches allerdings noch nicht installiert worden zu sein. Unmittelbar nach dem Patchday erfasste die Shadowserver Foundation(öffnet im neuen Fenster) weltweit 1.745 anfällige Sharepoint-Server. Rund eine Woche später sind es noch immer 1.287. Knapp 74 Prozent der online erreichbaren Instanzen sind also immer noch ungeschützt.
418 der anfälligen Instanzen wurden zuletzt in Europa registriert. Deutschland erreicht im Ländervergleich(öffnet im neuen Fenster) mit 107 betroffenen Systemen den zweiten Platz. Nur in den USA gibt es mit einer Anzahl von 555 mehr angreifbare Sharepoint-Instanzen. Ab Platz 3 folgen Kanada (60), die Niederlanden (45), Frankreich (40), die Schweiz (32), Australien (31) und das Vereinigte Königreich (31).
Neben Microsoft hatte auch die US-amerikanische Cybersicherheitsbehörde Cisa schon am 14. April vor der aktiven Ausnutzung von CVE-2026-32201 gewarnt(öffnet im neuen Fenster). In dieser Warnmeldung sind jedoch ebenfalls keine weiteren Details zum Umfang und zur Ausführung der beobachteten Angriffe zu finden.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.