SharePoint-Zero-Day: Angreifer stehlen Schlüssel für dauerhaften Zugriff : CISA warnt vor aktiven Angriffen auf lokale SharePoint-Server und verlangt sofortige Updates

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat CVE-2026-58644 in ihren Katalog der nachweislich ausgenutzten Schwachstellen, den Known Exploited Vulnerabilities Catalog (KEV), aufgenommen. US-Bundesbehörden mussten die Sicherheitsupdates bis zum 19. Juli 2026 installieren. Die Einstufung macht deutlich, dass es sich nicht um ein theoretisches Risiko handelt: Die Schwachstelle wurde als Zero-Day ausgenutzt, bevor Microsoft am 14. Juli einen Patch veröffentlichte.

Unsichere Daten werden zu ausführbarem Code

CVE-2026-58644 erreicht im Common Vulnerability Scoring System (CVSS) einen Wert von 9,8. Ursache ist die unsichere Deserialisierung nicht vertrauenswürdiger Daten. Bei der Deserialisierung wandelt eine Anwendung übertragene oder gespeicherte Daten wieder in interne Objekte um. Prüft SharePoint dabei Typen, Eigenschaften und enthaltene Befehle nicht ausreichend, können manipulierte Datenstrukturen Programmfunktionen zweckentfremden und fremden Code auf dem Server ausführen.

Microsoft beschreibt die Lücke als relativ einfach aus der Ferne ausnutzbar. Die Angriffskomplexität gilt als niedrig, weil Angreifer weder detaillierte Kenntnisse der Zielumgebung benötigen, noch mit stark wechselnden Ergebnissen rechnen müssen. Eine vorbereitete Payload lässt sich wiederholt gegen die verwundbare Komponente einsetzen. Betroffen sind:

• Microsoft SharePoint Server Subscription Edition
• Microsoft SharePoint Server 2019
• Microsoft SharePoint Enterprise Server 2016

Die Cloud-Ausgabe SharePoint Online wird in den Warnungen nicht als betroffen genannt. Im Fokus stehen selbst betriebene On-Premises-Installationen, die Unternehmen oder Behörden eigenständig aktualisieren und absichern müssen.

Angriffskette reicht über die Erstinfektion hinaus

CISA warnt außerdem vor der aktiven Ausnutzung weiterer SharePoint-Schwachstellen: CVE-2026-32201, CVE-2026-45659 und CVE-2026-56164. Angreifer können diese Lücken nutzen, um sich unbefugt Zugang zu lokalen SharePoint-Servern zu verschaffen, Schadcode auszuführen und anschließend weitere Schritte im Netzwerk vorzubereiten.

Besonders kritisch ist der mögliche Diebstahl der Maschinenschlüssel des Internet Information Services (IIS). SharePoint und die zugrunde liegende Plattform ASP.NET verwenden diese geheimen Schlüssel, um interne Daten, Anmeldestatus und kryptografische Prüfsummen abzusichern. Werden die Schlüssel gestohlen, können Angreifer manipulierte Daten so signieren, dass sie für den Server echt und vertrauenswürdig erscheinen. Dadurch lässt sich unter Umständen erneut Schadcode einschleusen – selbst wenn die ursprüngliche Sicherheitslücke inzwischen geschlossen wurde.

Deshalb warnt CISA vor dauerhaften Zugriffsmöglichkeiten und der Installation weiterer Malware. Ein Patch behebt zwar den Softwarefehler, entfernt aber keine bereits angelegten Hintertüren. Auch gestohlene Schlüssel bleiben gefährlich. Betreiber müssen daher nicht nur aktualisieren, sondern die Systeme zusätzlich auf Einbruchsspuren prüfen, Schadsoftware entfernen und anschließend die IIS-Maschinenschlüssel austauschen.

Patchen, prüfen und Schlüssel austauschen

CISA empfiehlt folgende Schutzmaßnahmen:

• Aktuelle Microsoft-Patches installieren, den erfolgreichen Abschluss kontrollieren und Patchzyklen möglichst verkürzen.
• Prüfen, ob die Integration des Antimalware Scan Interface (AMSI) für jede SharePoint-Webanwendung aktiviert ist.
• Systeme auf Einbruchsspuren und Werkzeuge zum Auslesen von Maschinenschlüsseln untersuchen und diese entfernen, bevor IIS-Schlüssel rotiert werden.
• Angepasste Protokollierungsmechanismen einrichten, um Ausnutzungsversuche und Folgeaktivitäten zu erkennen.
• SharePoint-Server nur dann direkt aus dem Internet erreichbar machen, wenn dies betrieblich unvermeidbar ist.
• Externen Zugriff auf die SharePoint-Zentraladministration blockieren, Farm- und Datenbankkommunikation auf benötigte Systeme begrenzen sowie Microsofts Härtungsempfehlungen für Ports, Dienste und Web.config-Einstellungen umsetzen.

Die Reihenfolge ist wichtig: Werden IIS-Schlüssel ausgetauscht, während ein Angreifer weiterhin Zugriff besitzt, kann er auch die neuen Schlüssel sofort entwenden.

Auch FortiSandbox aktiv angegriffen

Parallel nahm CISA CVE-2026-25089 und CVE-2026-39808 für Fortinet FortiSandbox in den KEV-Katalog auf. CVE-2026-25089 ist eine nicht authentifizierte Betriebssystem-Befehlsinjektion über präparierte HTTP-Anfragen. Fortinet bewertet sie mit CVSS 9,1 und empfiehlt abhängig vom Produktzweig ein Upgrade auf FortiSandbox 5.0.6 beziehungsweise 4.4.9 oder höher. (FortiGuard Labs)

Die Häufung aktiv ausgenutzter Schwachstellen zeigt, wie eng Patchmanagement und Incident Response inzwischen zusammengehören. Sobald eine Lücke bereits angegriffen wird, lautet die Aufgabe nicht mehr nur „Update installieren“, sondern auch: Kompromittierung ausschließen, Persistenz entfernen und alle potenziell gestohlenen Geheimnisse erneuern.