Die Sicherheitslücke CVE-2026-45659 in Microsoft Sharepoint wird inzwischen auch von Ransomware-Gruppen ausgenutzt. Das geht aus einer Aktualisierung des "Known Exploited Vulnerabilities"-Katalogs (KEV) der US-amerikanischen Cybersecurity and Infrastructure Security Agency (CISA) hervor. Die Behörde hat die Schwachstelle nun ausdrücklich als Teil von Ransomware-Kampagnen eingestuft.

CVE-2026-45659 betrifft die Verarbeitung nicht vertrauenswürdiger Daten bei der Deserialisierung. Angreifer mit geringen Berechtigungen können die Schwachstelle ausnutzen, um beliebigen Code auf einem verwundbaren Sharepoint-Server auszuführen. Die Angriffe gelten zudem als vergleichsweise wenig komplex. Laut Microsoft sind keine umfangreichen Vorkenntnisse über das Zielsystem erforderlich.

Die Vermutung liegt nahe, dass es sich bei der Sharepoint-Lücke um genau jene Schwachstelle handelt, über die Cyberangriffe auf das Bundesamt für Informatik (BIT) und den Kanton Graubünden verübt wurden. Im Juli wurden neben CVE-2026-45659 noch vier weitere Schwachstellen für den Sharepoint-Server publiziert.

Die Gefahr ist nicht nur theoretischer Natur. Wie 'Bleeping Computer' berichtet, sind derzeit mehr als 8500 Microsoft-Sharepoint-Server öffentlich über das Internet erreichbar. Mehr als 200 davon sollen noch nicht gegen CVE-2026-45659 gepatcht sein.

Microsoft selbst hat seine Sicherheitsmeldung zur Schwachstelle bislang nicht dahingehend aktualisiert, dass eine Ausnutzung in freier Wildbahn bestätigt wird. Die Einstufung durch CISA zeigt jedoch, dass die Behörde inzwischen von einer Verwendung der Lücke durch Ransomware-Akteure ausgeht.

Betroffen sind Sharepoint Enterprise Server 2016, Sharepoint Server 2019 und Sharepoint Server Subscription Edition. Betreiber entsprechender Systeme sollten deshalb prüfen, ob die verfügbaren Sicherheitsupdates installiert sind und ob sich Hinweise auf eine mögliche Kompromittierung finden.