Auf den Punkt: Drei aktiv ausgenutzte SharePoint-Schwachstellen (CVE-2026-332201, CVE-2026-45659, CVE-2026-56164) erfordern sofortige Patches und Netzwerksegmentierung, da einzelne kompromittierte SharePoint-Server zum Einfallstor für umfassende Infrastruktur-Kompromittierungen werden können.
Die US-Cybersecurity and Infrastructure Security Agency (CISA) hat Organisationen aufgefordert, ihre Microsoft-SharePoint-Installationen unverzüglich abzusichern, nachdem drei aktiv ausgenutzte Schwachstellen in der On-Premises-Collaboration-Plattform bestätigt wurden. Die Lücken wurden in CISAs Katalog der aktiv exploitierten Schwachstellen (KEV) aufgenommen.
CISA hat in einer Mitteilung die sofortige Behebung dreier Schwachstellen in Microsoft SharePoint Server verlangt: CVE-2026-332201, CVE-2026-45659 und CVE-2026-56164. Diese Sicherheitslücken werden bereits von Angreifern in der Praxis ausgenutzt und sind daher in die KEV-Liste aufgenommen worden. Administratoren werden aufgefordert, Updates aufzuspielen, Microsofts Mitigationsleitfäden zu berücksichtigen und davon auszugehen, dass an das Internet angebundene SharePoint-Installationen ein bevorzugtes Angriffsziel darstellen.
Besonders kritisch ist CVE-2026-56164, eine Eskalationsschwachstelle (Elevation-of-Privilege) mit einem CVSS-Wert von 5.3. Obwohl dieser Wert auf den ersten Blick moderat wirkt, kann die Lücke ferngesteuert und ohne Authentifizierung ausgenutzt werden – in der Praxis ist sie damit deutlich gefährlicher als die Bewertung vermuten lässt. Microsoft hat Security Updates für unterstützte SharePoint-Versionen veröffentlicht und empfiehlt die Aktivierung des Antimalware Scan Interface (AMSI) zur Erkennung böswilliger Anfragen. CISA rät zusätzlich zur Suche nach Kompromittierungsindikatoren und zum Wechsel von SharePoint-Machine-Keys, da Patches allein bereits kompromittierte Server möglicherweise nicht vollständig bereinigen.
Bei CVE-2026-45659 handelt es sich um eine Deserialisierungslücke, die Remote Code Execution (RCE) ermöglicht. Obwohl Microsoft diese im Mai als „weniger wahrscheinlich ausgenutzt“ einstufte, wird sie derzeit aktiv angegriffen. CVE-2026-32201 ist eine Input-Validierungslücke, die Spoofing über das Netzwerk erlaubt und ebenfalls in freier Wildbahn exploitiert wird. CISA verweist darauf, dass Angreifer zunehmend ältere, bekannte Schwachstellen (N-Days) statt ausschließlich Zero-Days gezielt einsetzen.
Für Sicherheitsverantwortliche geht es nicht allein um Patch-Geschwindigkeit: Die Schließung des zeitlichen Fensters zwischen Disclosure und Exploitation schrumpft kontinuierlich. Realistischer ist daher die Annahme, dass Systeme kompromittiert werden. Die zentrale Frage ist, wie stark die Netzwerksegmentierung konfiguriert ist und wie viel Geschäftsbetrieb ein einzelner Angreifer von einem kompromittierten SharePoint-Server aus unterbrechen kann. Segmentierung, nicht nur Patchgeschwindigkeit, sollte eine Kernkomponente der Defensivstrategie sein – sie ist ein Kontrollmechanismus, den Organisationen eigenverantwortlich durchsetzen können. CISA hat Bundesbehörden eine Frist von drei Tagen zur Behebung von CVE-2026-56164 unter der Binding Operational Directive (BOD) 22-01 gesetzt.
Quelle: www.csoonline.com · Erschienen 16. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.