Remote Code Execution in Microsoft SharePoint: Risiken und Schutzmaßnahmen

CVE-2026-58644 — eine Schwachstelle zur Remote Code Execution in Microsoft SharePoint, die mit der Deserialisierung nicht vertrauenswürdiger Daten zusammenhängt, wird bereits in realen Angriffsszenarien ausgenutzt, und für einen Angriff genügt Netzwerkzugriff eines nicht autorisierten Angreifers, was sie zu einem kritischen Risiko für alle Organisationen macht, die SharePoint als internen oder extern erreichbaren Unternehmens­portal nutzen; höchste Priorität sollte die umgehende Aktualisierung der Instanzen gemäß den Empfehlungen von Microsoft sowie die Einschränkung des Netzwerkzugriffs auf SharePoint haben, bis die Arbeiten zur Beseitigung der Schwachstelle abgeschlossen sind.

Technische Details der Schwachstelle

Nach der Beschreibung des Microsoft Security Response Center betrifft die Schwachstelle CVE-2026-58644 Microsoft Office SharePoint und steht im Zusammenhang mit der Deserialisierung nicht vertrauenswürdiger Daten. Ein Fehler bei der Verarbeitung eingehender Daten ermöglicht es einem Angreifer, speziell präparierte Daten über das Netzwerk zu übermitteln, die im Zuge der Deserialisierung zur Ausführung von beliebigem Code auf dem SharePoint-Server führen.

Wesentliche Merkmale der Schwachstelle auf Basis der offiziellen Beschreibung:

• Typ: Remote Code Execution (RCE);
• Komponente: Microsoft Office SharePoint;
• Hauptursache: Deserialisierung nicht vertrauenswürdiger Daten;
• Vektor: Netzwerk, mit Ausnutzungsmöglichkeit durch einen nicht autorisierten Angreifer;
• Status laut Microsoft: Ausnutzung in aktuellen Softwareversionen festgestellt.

Deserialisierung ist die Umwandlung strukturierter Daten (Objekte, Nachrichten) aus einer Text- oder Binärdarstellung zurück in Objekte im Speicher. Wenn der Deserialisierungsmechanismus Daten verarbeitet, die vom Client stammen, ohne strenge Validierung und Typbeschränkungen, kann ein Angreifer eine Datenfolge einschleusen, die bei der Wiederherstellung des Objekts die Ausführung unerwünschter Operationen auslöst – bis hin zum Start beliebiger Befehle.

Im Kontext von SharePoint bedeutet dies, dass eine verwundbare Komponente, die Daten über das Netzwerk entgegennimmt (z. B. im Anfragekörper oder in einem speziellen Feld), zum Einstiegspunkt für Angriffe werden kann. Nach erfolgreicher Ausnutzung wird der Code des Angreifers in der Regel mit den Rechten des Anwendungspools oder des Dienstkontos von SharePoint ausgeführt, was in einer typischen Konfiguration mindestens Zugriff auf die Inhalte der Websites und häufig auf weitergehende Ressourcen auf dem Server ermöglicht.

Die von Microsoft in der Schwachstellenbeschreibung CVE-2026-58644 bestätigte Tatsache der Ausnutzung hebt sie aus der Kategorie theoretischer Risiken heraus: Angreifer verfügen bereits über funktionierende Methoden, um den Fehler gegen reale Systeme einzusetzen.

Bedrohungskontext und Rolle in der Angriffskette

Öffentlich zugängliche Unternehmensportale und Kollaborationssysteme sind traditionell ein vorrangiges Ziel für Angreifer. Eine Schwachstelle, die Remote Code Execution in SharePoint über eine Netzwerkschnittstelle ohne vorherige Authentifizierung ermöglicht, passt ideal zur Technik Exploit Public-Facing Application (T1190) in MITRE ATT&CK — die Übernahme einer internetzugänglichen Anwendung, um einen ersten Zugangspunkt in der Infrastruktur zu erlangen.

Ein typisches Szenario für die Ausnutzung einer Schwachstelle dieser Klasse sieht wie folgt aus:

• Ein automatisierter Scanner findet von außen erreichbare SharePoint-Instanzen;
• an jede von ihnen wird ein Satz generierter Anfragen mit schädlichen Daten zur Deserialisierung gesendet;
• bei erfolgreicher Ausnutzung wird auf den Server ein Loader oder ein „One-Liner“-Skript hochgeladen und gestartet, das Remote-Zugriff bereitstellt (Reverse Shell, Webshell, Einschleusen eines Management-Agents);
• anschließend nutzen die Angreifer den kompromittierten SharePoint-Server zur Aufklärung der Domänenumgebung, zum Datendiebstahl, zur Verteilung von Ransomware oder anderen Nutzlasten.

Da Microsoft für CVE-2026-58644 ausdrücklich auf eine laufende Ausnutzung hinweist, ist sowohl mit gezielten Angriffen als auch mit umfassendem automatisiertem Scanning zu rechnen, das auf das massenhafte Auffinden verwundbarer Instanzen abzielt.

Bewertung der Auswirkungen auf Organisationen

Wer ist am stärksten gefährdet:

• Organisationen, die SharePoint ohne zusätzliche Schutzebene (VPN, Gateways, strenge Zugriffspolitiken) im Internet veröffentlichen;
• Infrastrukturen, in denen SharePoint der zentrale Knoten für Dokumentenmanagement und Integrationen mit anderen Business-Systemen ist;
• Umgebungen, in denen die Dienstkonten von SharePoint auf Domänen- und Dateisystemebene übermäßig hohe Rechte besitzen.

Potenzielle Folgen eines erfolgreichen Angriffs:

• Übernahme des SharePoint-Servers durch den Angreifer und Kontrolle über alle darauf gehosteten Websites und Dokumente;
• Kompromittierung der Konten von Nutzern, die SharePoint verwenden, durch Content-Manipulation, das Einschleusen von Skripten oder Phishing-Seiten innerhalb des Portals;
• Ausweitung des Angriffs ins Netzwerkinnere: Versuche der lateralen Bewegung in der Infrastruktur, Einrichtung zusätzlicher Hintertüren, Rechteausweitung;
• Stillstand von Geschäftsprozessen, die von SharePoint abhängen (Verträge, Anträge, Genehmigungen), bis hin zum vollständigen Ausfall einzelner Abteilungen;
• Abfluss vertraulicher Informationen und personenbezogener Daten mit Folgen für Compliance und möglichen regulatorischen Strafen.

Angesichts der Tatsache, dass SharePoint häufig mit E-Mail-Systemen, CRM, ERP und Dateispeichern integriert ist, kann die Kompromittierung dieses Glieds zum Ausgangspunkt eines großflächigen Sicherheitsvorfalls werden, der mehrere kritische Systeme gleichzeitig betrifft.

Praktische Empfehlungen zum Schutz

1. Umgehende Aktualisierung verwundbarer Systeme

• Inventarisieren Sie alle Instanzen von Microsoft SharePoint (einschließlich Test- und Pilotumgebungen), insbesondere jene mit Netzwerkzugang aus externen Segmenten oder dem Internet.
• Nutzen Sie das Portal von Microsoft, um den Status der Produkte und verfügbare Updates zu CVE-2026-58644 zu prüfen. Der Patch für diese Schwachstelle sollte höchste Priorität erhalten.
• Bereiten Sie vor der Bereitstellung der Updates einen Rollback-Plan vor und testen Sie auf Nicht-Produktivservern, verzögern Sie jedoch die Übernahme in Produktivumgebungen nicht unnötig.

Zur Bewertung der Gesamtkritikalität und zur Einbindung in interne Prozesse des Schwachstellenmanagements können die Daten aus der NVD zu CVE-2026-58644 herangezogen werden, wo die Schwachstelle anhand von Risikokennzahlen klassifiziert wird.

2. Verringerung der Angriffsfläche bis zur Installation der Patches

Wenn eine sofortige Installation der Updates erschwert ist (Abhängigkeiten, Wartungsfenster), reduzieren Sie vorübergehend die Erreichbarkeit des verwundbaren Dienstes:

• Beschränken Sie den Zugriff auf SharePoint aus dem Internet: Verlegen Sie den Zugriff nach Möglichkeit in den internen Perimeter oder hinter ein VPN, setzen Sie Allowlists für IP-Adressen ein;
• platzieren Sie SharePoint hinter einem Reverse Proxy oder Application Gateway mit aktivierter Prüfung des eingehenden Traffics und zusätzlicher Authentifizierung;
• überprüfen Sie die Rechte der Dienstkonten von SharePoint und IIS: Entfernen Sie überflüssige Privilegien, die bei einer Kompromittierung des Servers missbraucht werden könnten;
• aktivieren oder verschärfen Sie die Regeln der Schutzlösungen auf Serverebene (Antivirus, EDR), einschließlich der Blockierung der Ausführung unbekannter ausführbarer Dateien und Skripte aus temporären und untypischen Verzeichnissen.

3. Erkennung möglicher Ausnutzung

Angesichts der bestätigten Ausnutzung ist es wichtig, nicht nur die Schwachstelle zu schließen, sondern auch zu prüfen, ob das System bereits kompromittiert wurde.

• Analysieren Sie die IIS- und SharePoint-Protokolle für den Zeitraum, in dem verwundbare Versionen erreichbar gewesen sein könnten: Suchen Sie nach anomalen Anfragen mit großen Request-Bodies, ungewöhnlichen Headern oder wiederholten Zugriffen von denselben IP-Adressen.
• Prüfen Sie die Windows-Systemprotokolle auf:
  • ungewöhnliche Prozessstarts unter den Dienstkonten von SharePoint oder dem Anwendungspool von IIS;
  • Erstellung neuer Dienste, geplanter Tasks und Änderungen an Autostart-Parametern;
  • verdächtige Dateioperationen in SharePoint-Verzeichnissen und temporären Ordnern.
• Vergleichen Sie den aktuellen Satz an Web-Layouts, Solutions und Erweiterungen in SharePoint mit dem Referenzzustand: Das Auftauchen unbekannter Module oder Seiten kann auf eine erfolgreiche Ausnutzung hinweisen.
• Wenn ein Intrusion-Detection-System oder EDR vorhanden ist, konfigurieren Sie eine Suche für die relevanten Zeiträume und SharePoint-Server nach Kommandos, die für Aktivitäten nach einer Kompromittierung typisch sind (Sammeln von Domäneninformationen, Anlegen neuer Konten usw.).

Werden Anzeichen einer Kompromittierung gefunden, sollte von einer vollständigen Übernahme des Servers ausgegangen werden, gefolgt von einer forensischen Untersuchung und gegebenenfalls einem Neuaufbau der Instanz aus vertrauenswürdigen Quellen.

4. Langfristige Maßnahmen zum Umgang mit Deserialisierungsrisiken

• Führen Sie eine regelmäßige Überprüfung der Architektur und Konfigurationen serverseitiger Anwendungen auf den Einsatz von Mechanismen zur Deserialisierung von Daten durch, insbesondere in Komponenten, die externe Anfragen verarbeiten.
• Erhöhen Sie in der Richtlinie zum Schwachstellenmanagement die Priorität von Schwachstellen, die ausdrücklich mit der Deserialisierung nicht vertrauenswürdiger Daten verbunden sind: Solche Fehler führen häufig zur vollständigen Kompromittierung eines Hosts.
• Aktualisieren Sie Schulungsunterlagen und Awareness-Programme für Entwickler und Administratoren mit Fokus auf die sichere Verarbeitung eingehender Daten und typische Muster der Ausnutzung von Deserialisierung.

Zentrale Schlussfolgerung zu CVE-2026-58644: Die Schwachstelle wird bereits von Angreifern gegen reale Microsoft-SharePoint-Instanzen eingesetzt, daher müssen Organisationen im nächsten Wartungsfenster die von Microsoft empfohlenen Patches installieren, den externen Zugriff auf SharePoint gleichzeitig einschränken und eine rückblickende Analyse der Protokolle und Serverkonfigurationen auf mögliche Kompromittierungsanzeichen durchführen.