Microsoft hat die Sicherheitslücke CVE-2026-45659 im Mai 2026 gepatcht und die Wahrscheinlichkeit einer Ausnutzung als gering eingeschätzt. Sechs Wochen später hat die US-Behörde CISA dieselbe Lücke in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Wer einen eigenen SharePoint-Server betreibt und das Mai-Update nicht eingespielt hat, ist angreifbar.

Was ist passiert?

Am 1. Juli 2026 hat die CISA CVE-2026-45659 in den Known-Exploited-Vulnerabilities-Katalog (KEV) aufgenommen. Aufnahme in den KEV bedeutet, dass es Belege für tatsächliche Angriffe gibt, nicht nur für ein theoretisches Risiko. US-Bundesbehörden mussten die Lücke bis zum 4. Juli schließen, eine ungewöhnlich kurze Frist von drei Tagen.

Der Weg dorthin ist bemerkenswert. Microsoft hat den Fehler bereits mit den Sicherheitsupdates vom Mai 2026 behoben. Die CVE-Kennung tauchte in der ursprünglichen Update-Übersicht allerdings nicht auf, das Advisory wurde erst Ende Mai nachgereicht. Bewertet wurde die Lücke damals mit dem Hinweis, eine Ausnutzung sei weniger wahrscheinlich. Genau dieses Label sorgt in vielen Unternehmen dafür, dass ein Patch nach hinten in die Warteschlange rutscht. Die Einschätzung hat sich als falsch erwiesen.

Die Schwachstelle im Detail

CVE-2026-45659 ist eine Deserialisierungslücke in Microsoft SharePoint Server mit einem CVSS-Wert von 8,8. Deserialisierung bedeutet vereinfacht: Der Server nimmt Daten entgegen, die in ein Transportformat verpackt wurden, und baut daraus wieder Objekte im Arbeitsspeicher. Prüft er dabei nicht, was er da eigentlich zusammensetzt, kann ein Angreifer eine präparierte Datenstruktur schicken, die beim Auspacken eigenen Code ausführt. Das Ergebnis ist Remotecodeausführung im Kontext des SharePoint-Worker-Prozesses.

Zwei Punkte machen die Lücke gefährlich:

1. Die Angriffskomplexität ist niedrig. Microsoft schreibt selbst, dass ein Angreifer kein tiefes Vorwissen über das Zielsystem braucht und der Payload zuverlässig funktioniert.
   Eine Benutzerinteraktion ist nicht nötig. Niemand muss auf etwas klicken.
2. Die einzige echte Hürde: Der Angreifer muss authentifiziert sein. Es genügen allerdings Site-Member-Rechte, also die Berechtigungsstufe eines gewöhnlichen Mitarbeiters mit Schreibzugriff auf eine Teamsite. Administratorrechte sind nicht erforderlich. Wer in einem Unternehmen ein einziges gültiges Benutzerkonto übernimmt, erfüllt damit die Voraussetzung.

Und genau dieses Konto zu bekommen, ist derzeit kein großes Problem. Huntress zählte zwischen dem 12. und 26. Juni 2026 rund 81 Millionen Password-Spray-Versuche gegen Microsoft-365-Konten, von denen mindestens 78 erfolgreich waren. In den meisten dieser Fälle war die Multi-Faktor-Authentifizierung nicht durchgängig erzwungen.

Wer ist betroffen?

Betroffen sind ausschließlich lokal betriebene SharePoint-Installationen:

• SharePoint Server Subscription Edition
• SharePoint Server 2019
• SharePoint Enterprise Server 2016

SharePoint Online aus Microsoft 365 ist nicht betroffen, weil Microsoft diese Infrastruktur selbst patcht. Wer also ausschließlich Teams, OneDrive und SharePoint in der Cloud nutzt, muss hier nichts tun.

Anders sieht es bei On-Premises-Farmen aus. Diese finden sich überdurchschnittlich häufig in Behörden, im Gesundheitswesen, in der Fertigung, bei Kanzleien und im Finanzsektor, also überall dort, wo Daten aus rechtlichen oder historischen Gründen im eigenen Rechenzentrum bleiben. Laut Shadowserver-Daten sind weltweit weiterhin über 10.000 SharePoint-Server direkt aus dem Internet erreichbar.

Microsoft hat Ende Juni von einer Untersuchung berichtet, bei der zwei voneinander unabhängige Angreifergruppen gleichzeitig im selben Opfernetzwerk aktiv waren. Eine davon wird als Storm-2603 geführt, bekannt für die Ransomware Warlock und dafür, seit Mitte 2025 gezielt bekannte Lücken in lokalen SharePoint-Servern auszunutzen.

Wichtig zur Einordnung: Der Erstzugang in diesem konkreten Fall lief laut Microsoft vermutlich über eine andere Schwachstelle, nämlich CVE-2025-11371 in Gladinet Triofox. Der CISA-KEV-Eintrag zu CVE-2026-45659 führt eine Nutzung durch Ransomware-Gruppen bislang als unbekannt. Eine direkte Verbindung zwischen dieser Lücke und Warlock ist also nicht belegt. Was der Fall zeigt, ist etwas anderes: SharePoint-Server sind fest im Zielbild von Ransomware-Akteuren, und wer sich Codeausführung auf einem Server verschafft, der Dokumente, Dienstkonten und Anbindungen an SQL-Datenbanken zusammenführt, sitzt an einem sehr guten Ausgangspunkt für die weitere Ausbreitung im Netzwerk.

Seit 2021 hat die CISA elf verschiedene SharePoint-Schwachstellen als aktiv ausgenutzt eingestuft. Sieben davon standen im Zusammenhang mit Ransomware-Operationen.