Am 16. Juli 2026 hat die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) die Schwachstelle CVE-2026-58644 in Microsoft SharePoint Server in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen. Die Schwachstelle hat einen kritischen CVSS-Score von 9.8, ermöglicht remote code execution (RCE) von beliebigem Code über die Deserialisierung nicht vertrauenswürdiger Daten und wurde bereits vor Veröffentlichung des Patches von Angreifern ausgenutzt. Zivile US-Bundesbehörden sind verpflichtet, die Patches bis zum 19. Juli 2026 zu installieren. Allen Organisationen, die lokale Instanzen von SharePoint Server einsetzen, wird dringend empfohlen, die Updates aus dem Patch Tuesday vom 14. Juli 2026 umgehend einzuspielen.
Technische Details zu CVE-2026-58644
Laut dem Microsoft-Bulletin handelt es sich bei CVE-2026-58644 um eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten (CWE-502). In einem Netzangriffsszenario kann ein Angreifer, der mindestens mit den Rechten eines Site Owner authentifiziert ist, beliebigen Code auf dem SharePoint-Server einschleusen und remote ausführen.
Microsoft stuft die Angriffskomplexität aus zwei Gründen als niedrig ein:
- Der Angreifer benötigt keine umfangreichen Vorkenntnisse über das Zielsystem.
- Der Angreifer kann mit einer Payload gegen die verwundbare Komponente reproduzierbar Erfolg erzielen.
Die Schwachstelle betrifft alle unterstützten lokalen Versionen von SharePoint Server:
- Microsoft SharePoint Server Subscription Edition
- Microsoft SharePoint Server 2019
- Microsoft SharePoint Enterprise Server 2016
Die Patches wurden im Rahmen der Patch-Tuesday-Updates vom 14. Juli 2026 veröffentlicht. Anschließend hat Microsoft das Bulletin aktualisiert und bestätigt, dass CVE-2026-58644 in realen Angriffen ausgenutzt wurde. Das bedeutet, dass die Schwachstelle als Zero-Day verwendet wurde – also bevor ein Patch verfügbar war.
Umfang der Kampagne: nicht eine Schwachstelle, sondern eine Angriffskette
CVE-2026-58644 ist kein Einzelfall. Am 14. Juli hat CISA vor der aktiven Ausnutzung gleich mehrerer Schwachstellen in SharePoint Server gewarnt: CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 und CVE-2026-58644. Sie zielen alle auf lokale SharePoint-Instanzen ab und werden in Kombination eingesetzt.
Nach Angaben von CISA umfasst die Angriffskette:
- remote code execution (RCE) als initialen Vektor für den Einstieg.
- Post-Exploitation-Aktivitäten – den Diebstahl von IIS (Internet Information Services) machine keys.
- den Einsatz von Deserialisierungstechniken zur Etablierung von Persistenz im System und zur Ausbringung von Malware.
Dem Diebstahl der IIS machine keys kommt besondere Bedeutung zu: Diese Schlüssel werden zum Schutz der ViewState-Daten in ASP.NET-Anwendungen verwendet. Erlangt ein Angreifer diese Schlüssel, kann er ViewState fälschen, Authentifizierungsmechanismen umgehen und den Zugriff auf die kompromittierte Umgebung auch nach Installation der Patches aufrechterhalten – sofern die Schlüssel nicht rotiert wurden.
Einschätzung der Auswirkungen
Am stärksten gefährdet sind Organisationen, die lokale Instanzen von SharePoint Server betreiben, die aus dem Internet erreichbar sind. SharePoint wird in Behörden, im Finanzsektor, im Gesundheitswesen und in Großunternehmen weit verbreitet für die gemeinsame Dokumentenbearbeitung, Content-Management und interne Portale eingesetzt.
Die Kritikalität der Lage ergibt sich aus der Kombination mehrerer Faktoren: CVSS-Score von 9.8, geringe Angriffskomplexität, bestätigte Ausnutzung in realen Angriffen und das Vorliegen einer vollständigen Kette von Schwachstellen, die nicht nur den Erstzugriff auf das System, sondern auch die Etablierung von Persistenz ermöglichen. Organisationen, die den Patch nicht installiert und keine Rotation der IIS-Schlüssel durchgeführt haben, riskieren eine vollständige Kompromittierung der SharePoint-Serverinfrastruktur, Datenabflüsse und die Verteilung von Malware im Unternehmensnetz.
Empfehlungen zum Schutz
CISA hat eine detaillierte Liste von Maßnahmen zur Härtung von SharePoint Server veröffentlicht:
- Installieren Sie umgehend die Updates aus dem Patch Tuesday vom 14. Juli 2026. Stellen Sie sicher, dass die Patches erfolgreich angewendet wurden, und verkürzen Sie nach Möglichkeit Ihre Update-Zyklen.
- Überprüfen Sie die Aktivierung der AMSI-Integration (Antimalware Scan Interface) für jede SharePoint-Webanwendung. Die Konfigurationsdokumentation ist im Microsoft Learn-Portal verfügbar.
- Suchen und entfernen Sie Einbruchsartefakte, einschließlich Tools zum Sammeln von machine keys, vor der Rotation der IIS-Schlüssel. Eine Rotation ohne vorherige Bereinigung führt zur Kompromittierung der neuen Schlüssel.
- Richten Sie gezieltes Logging ein, um Exploit-Versuche zu erkennen und zu überwachen.
- Veröffentlichen Sie SharePoint Server nicht direkt im Internet, sofern dies nicht absolut notwendig ist.
- Blockieren Sie den externen Zugriff auf die SharePoint Central Administration, und beschränken Sie die Kommunikation der Farm und der Datenbanken auf die wirklich erforderlichen Systeme. Machen Sie sich mit dem Microsoft-Leitfaden zur Härtung von SharePoint Server vertraut, um Ports, Dienste und Web.config-Parameter rollenspezifisch zu konfigurieren.
Zusätzlich: Schwachstellen in Fortinet FortiSandbox
Am selben Tag hat CISA zwei kritische Schwachstellen in Fortinet FortiSandbox – CVE-2026-25089 und CVE-2026-39808 – in den KEV-Katalog aufgenommen. Die Frist zur Behebung für Bundesbehörden endet ebenfalls am 19. Juli 2026. Organisationen, die FortiSandbox einsetzen, sollten ihre Instanzen auf die neuesten unterstützten Versionen aktualisieren.
Die Situation rund um SharePoint Server erfordert nicht nur das Einspielen eines Patches, sondern ein umfassendes Incident Response. Angesichts der bestätigten Ausnutzung in realen Angriffen und der Verwendung einer Kette mehrerer Schwachstellen zur Etablierung von Persistenz in der Infrastruktur ist es entscheidend, den vollständigen Zyklus zu durchlaufen: Updates installieren, nach Kompromittierungsindikatoren suchen, Einbruchsartefakte bereinigen, IIS machine keys rotieren und den Netzwerkzugriff auf die SharePoint-Server einschränken. Organisationen, die Anzeichen einer Kompromittierung feststellen, sollten den Vorfall als vollwertigen Einbruch betrachten und entsprechend reagieren.
