Zwei Administratoren, ein Patch, ein sehr unterschiedlicher Juli

Stellen Sie sich zwei Unternehmen vor, die denselben SharePoint-Server im eigenen Haus betreiben. Das eine spielte Microsofts Sicherheitsupdate vom Mai 2026 noch in der Woche seiner Veröffentlichung ein. Das andere legte es als Routine ab und machte weiter, beruhigt durch Microsofts eigenen Hinweis, eine Ausnutzung sei weniger wahrscheinlich. Am 1. Juli nahm die US-amerikanische Cybersecurity and Infrastructure Security Agency genau diese Lücke, CVE-2026-45659, in ihren Katalog bekannter ausgenutzter Schwachstellen auf und verwies dabei auf Belege für aktive Angriffe in freier Wildbahn. Der erste Administrator war bereits sicher. Der zweite hat nun ein dringendes Problem, an dem eine öffentliche Frist hängt.

Die CISA gab US-Bundesbehörden bis zum 4. Juli Zeit, den Patch einzuspielen. Dieses Datum ist nicht Ihre Pflicht, doch der Eintrag ist Ihre Warnung: Eine Schwachstelle, die im Mai jemand heruntergestuft hat, wird im Juli gegen reale Ziele eingesetzt.

Die Lücke in klaren Worten

CVE-2026-45659 ist eine Schwachstelle zur Remotecodeausführung, verursacht durch unsichere Deserialisierung nicht vertrauenswürdiger Daten, mit einem Schweregrad von 8.8 von 10. In der Praxis heißt das, dass ein Angreifer den Server dazu bringen kann, Code seiner Wahl auszuführen. Betroffen sind die Produkte für den Betrieb im eigenen Haus, also SharePoint Server Subscription Edition, SharePoint Server 2019 und SharePoint Enterprise Server 2016, und nicht das in der Cloud gehostete SharePoint in Microsoft 365.

Das Detail, das die Sache verschärft, ist die niedrige Einstiegshürde. Die Ausnutzung erfordert keine Administratorrechte, ein einziges Konto mit gewöhnlichen Rechten als Websitemitglied genügt. Die meisten Organisationen vergeben diese Zugriffsstufe an Dienstleister, Aushilfen und Dutzende ganz normaler Nutzer. Eine einzige dieser Anmeldungen, abgephisht oder anderswo wiederverwendet, ist der ganze Schlüssel.

Die Kluft zwischen unwahrscheinlich und ausgenutzt

Als Microsoft den Fix im Mai auslieferte, stufte das Unternehmen die Ausnutzung als weniger wahrscheinlich ein, eine vertretbare Prognose, die sich binnen Wochen als falsch erwies. Diese Kluft ist der Grund, warum Herstellerbewertungen Ihre Patch-Reihenfolge bestimmen sollten und nicht Ihre Patch-Entscheidung. Eine Bewertung sagt das Verhalten von Angreifern voraus, ein CISA-Eintrag zu ausgenutzten Schwachstellen hält es fest. Wenn beide sich widersprechen, gewinnt der Beleg, und genau das ist gerade geschehen.

Das Muster ist nicht neu. Kollaborationsserver im eigenen Haus, zum Internet hin offen und voller interner Daten, gehören zu der am verlässlichsten angegriffenen Software in Unternehmensbeständen. Ein herabgestufter Schweregrad ist eine Vorhersage, und Vorhersagen zu widerlegen ist genau das, wofür Angreifer bezahlt werden.

Warum NIS2 den Einsatz erhöht, und was jetzt zu tun ist

Für europäische Betreiber ist die Folge ebenso regulatorisch wie technisch. Unter der NIS2-Richtlinie müssen Organisationen im Anwendungsbereich bekannte Schwachstellen handhaben und können bei Versäumnissen mit Prüfungen und Sanktionen rechnen. Eine Lücke, die auf einer öffentlichen Liste ausgenutzter Schwachstellen steht, während der Patch seit Mai bereitliegt, ist ungefähr der deutlichste denkbare Beleg dafür, dass ein Fix vorlag und nicht eingespielt wurde. Nach einem Vorfall ist das das erste Dokument, das ein Ermittler in die Höhe hält.

Die Maßnahme ist eng umrissen und sofort fällig. Prüfen Sie, ob Sie eine der drei betroffenen SharePoint-Versionen im eigenen Haus betreiben. Falls ja, spielen Sie das Update vom Mai 2026 jetzt ein und suchen Sie nach Anzeichen einer Kompromittierung, statt anzunehmen, das Update allein schließe die Tür. Nehmen Sie danach den CISA-Katalog und nicht die Herstellerkennzeichnung als Auslöser für den nächsten Fall dieser Art, denn einen nächsten gibt es immer.

Weiterlesen: Elf signierte Bootloader umgehen Secure Boot  |  570 Windows-Patches an einem Tag, zwei bereits ausgenutzt