Das Amt für Informatik (AFI) des Kantons Graubünden gab am 5. August einen Cyberangriff auf einen Sharepoint-Server des Kantons bekannt. Die Sicherheitsspezialisten hätten "einen ähnlichen Vorfall" festgestellt wie das Bundesamt für Informatik (BIT). Das BIT hatte einen Tag zuvor informiert, dass auf Sharpoint-Server des Bundes ein Cyberangriff verübt worden war.

Benutzer- wie auch technische Konten seien kompromittiert worden. "Die bisherigen Analysen haben ergeben, dass es keine Anzeichen dafür gibt, dass neben der Kompromittierung der Zugangsdaten von 200 Konten weitere Daten abgeflossen sind. Die Analysearbeiten sind am Laufen", erklärte das BIT. Auf der Sharepoint-Plattform dürften beim Bund keine vertraulichen Informationen oder besonders schützenswerte Personendaten gespeichert werden.

Vom AFI Graubünden hiess es: "Eine erste Analyse hat ergeben, dass es keine Anzeichen darauf gibt, dass Konten kompromittiert oder Daten abgeflossen sind. Vertrauliche Informationen oder besonders schützenswerte Personendaten sind ohnehin nicht betroffen, da diese nicht auf Sharepoint-Servern gespeichert werden."

Das BIT nannte keine genauen Details zu den Lücken, man habe proaktiv alle relevanten technischen Indikatoren zum Cyberangriff über die Plattform des Bacs mit den Betreiberinnen kritischer Infrastrukturen geteilt. Das Bundesamt schrieb aber: "Mitte Juli hat Microsoft mehrere Schwachstellen in Sharepoint bekannt gegeben." Nach der Veröffentlichung der entsprechenden Sicherheits-Updates hätte das BIT die Arbeiten zum Einspielen in die eigenen Systeme umgehend aufgenommen.

Microsoft veröffentlichte am 14. Juli, dem "Patch Tuesday", 622 Sicherheitslücken in seinen Produkten. 416 davon betrafen das Betriebssystem Windows. Für Sharepoint Server wurden fünf Schwachstellen publiziert:

Microsoft veröffentlichte Patches für alle fünf Lücken für Sharepoint Enterprise Server 2016, Server 2019 und die Subscription Edition. In einem Alert schrieb die US-Cybersecurity-Behörde, man habe CVE-2026-32201 und CVE-2026-45659 bereits im April und Anfang Juli in den Katalog "Known Exploited Vulnerabilities“ aufgenommen, am 14. Juli folgte CVE-2026-56164, am 16. Juli CVE-2026-58644 und zuletzt am 22. Juli CVE-2026-50522.

Der EU-Cybersicherheitsdienst warnte am 23. Juli ebenfalls, dass inzwischen alle Lücken aktiv ausgenutzt würden. "CERT-EU empfiehlt dringend, betroffene Server unverzüglich zu aktualisieren, die Anmeldedaten für alle Ressourcen, die möglicherweise dem Internet ausgesetzt waren, zu ändern und eine Kompromittierungsanalyse durchzuführen", hiess es im Advisory.

Weiter warnte die Behörde: "Angesichts der Vielzahl kritischer Sicherheitslücken, von denen Sharepoint in letzter Zeit betroffen war, sollten Unternehmen überdenken, ob sie Microsoft Sharepoint Server weiterhin direkt mit dem Internet verbinden."