Patch seit Mai verfügbar: Ransomware attackiert Microsoft Sharepoint

Aktive Bedrohung für SharePoint-Umgebungen

IT-Administratoren stehen vor einer dringenden Aufgabe: Die Sicherheitslücke mit der Kennung CVE-2026-45659 in Microsoft SharePoint wird aktuell aktiv für Ransomware-Angriffe missbraucht. Die Schwachstelle, die mit einem CVSS-Wert von 8,8 als hochriskant eingestuft ist, erlaubt es Angreifern, Schadcode in betroffene Systeme einzuschleusen und dort zur Ausführung zu bringen.

Die US-amerikanische Cybersecurity & Infrastructure Security Agency (CISA) hat die Lücke in ihren Katalog der aktiv ausgenutzten Schwachstellen (Known Exploited Vulnerabilities Catalogue) aufgenommen. Dies unterstreicht die Ernsthaftigkeit der Lage, auch wenn Microsoft selbst eine aktive Ausnutzung in freier Wildbahn noch nicht offiziell bestätigt hat.

Technische Hintergründe der Schwachstelle

Das Kernproblem liegt in der fehlerhaften Deserialisierung nicht vertrauenswürdiger Daten. Bei diesem Prozess wandelt eine Software Daten aus einer sequenziellen Form – etwa aus einer Datei – in Objekte um, die im Arbeitsspeicher verarbeitet werden können. Wenn dieser Vorgang nicht ausreichend abgesichert ist, können Angreifer manipulierte Daten einschleusen.

Besonders kritisch ist dabei, dass für den Angriff keine speziellen Benutzerrechte erforderlich sind. Zudem lässt sich die Schwachstelle direkt über das Netzwerk aus dem Internet heraus ausnutzen. Da Angreifer für den Exploit kein tiefgreifendes Vorwissen über das spezifische Zielsystem benötigen, wird die Komplexität des Angriffs als vergleichsweise gering eingestuft.

Verfügbarkeit von Sicherheitsupdates

Microsoft hat bereits Ende Mai entsprechende Sicherheits-Patches veröffentlicht, um die Schwachstelle zu schließen. Die Updates betreffen folgende Versionen:

* SharePoint Enterprise Server 2016

* SharePoint Server 2016

* SharePoint Server 2019

* SharePoint Server Subscription Edition

Obwohl die Korrekturen seit Monaten bereitstehen, zeigen aktuelle Scans der Shadowserver Foundation, dass weltweit noch immer eine signifikante Anzahl an Servern ungeschützt ist. Zwar sank die Zahl der online erreichbaren, ungepatchten Instanzen von über 1.100 Anfang Juni auf zuletzt etwa 200, doch jede einzelne dieser Instanzen stellt ein potenzielles Einfallstor dar.

Verbreitung der ungeschützten Systeme

Die geografische Verteilung der verwundbaren Server ist breit gefächert. Etwa die Hälfte der identifizierten Systeme befindet sich in den USA, rund ein Viertel ist in Europa verortet. Für Deutschland wurden zuletzt etwa ein Dutzend ungesicherte SharePoint-Server gemeldet, während für Österreich und die Schweiz jeweils niedrige einstellige Zahlen registriert wurden. Es ist jedoch davon auszugehen, dass die tatsächliche Anzahl der gefährdeten Systeme höher liegen könnte, da nicht alle Instanzen durch externe Scans erfasst werden.

Handlungsbedarf für IT-Verantwortliche

Die aktuelle Situation verdeutlicht, wie wichtig ein konsequentes Patch-Management ist. Auch wenn Microsoft bei der Veröffentlichung der Updates im Mai die Wahrscheinlichkeit eines Missbrauchs noch als eher gering einschätzte, hat sich die Bedrohungslage durch die nun beobachteten Ransomware-Aktivitäten deutlich verschärft.

Unternehmen, die SharePoint Server in ihrer Infrastruktur betreiben, sollten umgehend prüfen, ob die Mai-Updates erfolgreich implementiert wurden. Da Ransomware-Angriffe oft mit der Verschlüsselung von Daten und hohen Lösegeldforderungen einhergehen, ist die zeitnahe Installation der Sicherheits-Patches die effektivste Maßnahme, um die Integrität der eigenen IT-Infrastruktur zu wahren.