Die SharePoint Sicherheitslücke CVE-2026-45659 wird aktiv ausgenutzt. Die US-Behörde CISA hat die Schwachstelle am 2. Juli in ihren Katalog bekannter ausgenutzter Lücken (KEV) aufgenommen. Das ist bemerkenswert. Denn Microsoft hatte die Ausnutzung ursprünglich als ‘weniger wahrscheinlich’ eingestuft. Die Realität sieht nun anders aus. US-Bundesbehörden müssen bis zum 4. Juli 2026 patchen – ein deutliches Signal für alle Betreiber von On-Premises-SharePoint.
Was hinter der SharePoint Sicherheitslücke steckt
Technisch handelt es sich um eine Deserialisierung nicht vertrauenswürdiger Daten. Der CVSS-Score liegt bei 8.8 (hoch). Ein Angreifer braucht zwar gültige Zugangsdaten. Allerdings genügen bereits niedrige Rechte auf Ebene eines Site Members. Damit kann er aus der Ferne beliebigen Code auf dem Server ausführen. In vielen Firmen hat fast jeder Mitarbeiter solche Rechte. Ein einziges gephishtes Konto reicht also für die komplette Übernahme des Servers.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Betroffen sind alle aktuellen On-Premises-Varianten:
- SharePoint Server Subscription Edition (Fix: KB5002863, Build 16.0.19725.20280)
- SharePoint Server 2019 (Fix: KB5002870, Build 16.0.10417.20128)
- SharePoint Enterprise Server 2016 (Fix: KB5002868, Build 16.0.5552.1002)
SharePoint Online in Microsoft 365 ist nicht betroffen. Microsoft hat die Patches bereits im Mai 2026 veröffentlicht. Wer sie eingespielt hat, ist geschützt.
Warum die Lücke so gefährlich ist
SharePoint-Server sind ein Lieblingsziel von Angreifern. Sie enthalten oft die sensibelsten Dokumente eines Unternehmens. Zudem sind sie tief ins Active Directory integriert. Wer den Server kapert, steht deshalb häufig schon mit einem Bein in der gesamten Domäne. Die Kombination aus niedriger Einstiegshürde und hohem Schaden macht CVE-2026-45659 daher zum Pflicht-Patch.
Das Muster kennen wir aus den letzten Wochen zur Genüge: Erst kommt der Patch, dann die Ausnutzung, dann der KEV-Eintrag. Ähnlich lief es zuletzt bei der LoadMaster Sicherheitslücke CVE-2026-8037, die ebenfalls binnen Tagen aktiv angegriffen wurde.
Das solltest du jetzt tun
- Sofort patchen: Die Mai-Updates (siehe oben) einspielen und die Build-Nummer prüfen.
- Kompromittierung prüfen: Webshells, neue Admin-Konten und ungewöhnliche w3wp-Prozesse auf dem Server suchen.
- Rechte aufräumen: Site-Member-Rechte nur an Personen vergeben, die sie wirklich brauchen.
- Konten härten: Multi-Faktor-Authentifizierung erschwert Angreifern den nötigen Erstzugang deutlich.
Kurz gesagt: Die SharePoint Sicherheitslücke ist kein theoretisches Risiko mehr. Die Angriffe laufen. Wer den Patch noch nicht installiert hat, sollte das noch heute nachholen – und den Server anschließend auf Spuren einer Kompromittierung untersuchen.
Quellen
- The Hacker News: SharePoint RCE CVE-2026-45659 Added to CISA KEV
- SecurityWeek: CISA Warns of Actively Exploited SharePoint Vulnerability
- CISA: Known Exploited Vulnerabilities Catalog
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden