Behörde warnt: Microsoft-Sharepoint-Server werden attackiert
Nachdem Microsoft im Mai eine gravierende Sicherheitslücke in Sharepoint Server 2016, 2019 und SE (Subscription Edition) gepatcht hatte, mit der Angreifer auf anfälligen Systemen Schadcode zur Ausführung bringen können, wird diese Lücke inzwischen aktiv ausgenutzt. Die US-Cybersicherheitsbehörde Cisa nahm die zugehörige CVE-ID in ihren KEV-Katalog(öffnet im neuen Fenster) (Known Exploited Vulnerabilities) auf.
Die besagte Sicherheitslücke ist als CVE-2026-45659(öffnet im neuen Fenster) registriert und erreicht mit einem CVSS-Wert von 8,8 einen hohen Schweregrad. Ursache ist laut Beschreibung eine Deserialisierung nicht vertrauenswürdiger Daten (CWE-502(öffnet im neuen Fenster)), die es einem entfernten Angreifer ermöglicht, über das Netzwerk eigenen Code auszuführen.
Wie Microsoft in der zugehörigen Sicherheitsmeldung(öffnet im neuen Fenster) angibt, muss ein Angreifer dafür zwar authentifiziert sein, erhöhte Rechte werden aber nicht benötigt. Schon einfache Site-Member-Berechtigungen sollen ausreichen, um Schadcode einzuschleusen und auf einem anfälligen Sharepoint-Server zur Ausführung zu bringen.
Patches seit Mai verfügbar
In Microsofts Meldung heißt es bisher noch, es gebe keine Hinweise auf eine aktive Ausnutzung. Zudem hält der Konzern ein Aufkommen entsprechender Attacken für "weniger wahrscheinlich". Wie die Warnung der Cisa zeigt, fanden Angreifer nun aber doch einen Weg, CVE-2026-45659 auszunutzen. Microsoft dürfte seine Meldung bald entsprechend aktualisieren.
Patches zum Schließen der Lücke stellte Microsoft im Mai mit den Build-Nummern 16.0.5552.1002 (Sharepoint Server 2016(öffnet im neuen Fenster)), 16.0.10417.20128 (Sharepoint Server 2019(öffnet im neuen Fenster)) und 16.0.19725.20280 (Sharepoint Server SE(öffnet im neuen Fenster)) bereit. Admins sollten diese zügig einspielen, sofern noch nicht geschehen.
Weltweit sind laut den Scans der Shadowserver Foundation(öffnet im neuen Fenster) derzeit rund 10.000 Sharepoint-Server über das Internet erreichbar. Wie viele davon noch ungepatcht und über CVE-2026-45659 angreifbar sind, geben die Daten allerdings nicht her. Auch in den Monaten März und April wurden jeweils Angriffe auf Sharepoint-Lücken beobachtet.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.