CISA: SharePoint-Sicherheitslücke CVE-2026-45659 wird jetzt für Ransomware-Angriffe genutzt
CISA hat die Microsoft-SharePoint-Sicherheitslücke CVE-2026-45659 als in Ransomware-Angriffen genutzt eingestuft, wie ein Bericht von BleepingComputer vom 11. August 2026 zeigt. Die Sicherheitslücke ist ein Deserialisierungsfehler, der es einem Angreifer mit niedrigen Berechtigungen erlauben kann, beliebigen Code auf einem ungepatchten SharePoint-Server auszuführen. CISA hatte sie bereits im Juli in den Known-Exploited-Vulnerabilities-Katalog der Behörde aufgenommen — es gab also schon vor der Ransomware-Einstufung Hinweise auf aktive Ausnutzung.
Für Infrastruktur-Teams verändert der Wechsel von „aktiv ausgenutzt" zu „in Ransomware eingesetzt" die Recovery-Diskussion. Patchen bleibt unverzichtbar, aber sobald ein Angreifer Zugriff erlangt hat, werden Eindämmung und Wiederherstellung genauso wichtig. Eine resiliente Umgebung braucht mehr als erfolgreiche Backup-Jobs. Sie braucht Backup-Tests, die beweisen, dass Workloads sich tatsächlich wiederherstellen lassen — auch nach einem zerstörerischen Vorfall.
Warum der SharePoint-Fund wichtig ist
BleepingComputer berichtet, dass CVE-2026-45659 SharePoint Enterprise Server 2016, SharePoint Server 2019 und SharePoint Server Subscription Edition betrifft; Microsoft hatte bereits Anfang 2026 entsprechende Sicherheitsupdates veröffentlicht. CISA hat Organisationen dringend aufgefordert, aktuelle Patches einzuspielen, die erfolgreiche Installation zu überprüfen, betroffene Systeme auf Ausnutzung zu überwachen und verfügbare Antimalware-Schutzmaßnahmen einzusetzen.
Das Risiko ist bei aus dem Internet erreichbaren Unternehmenssystemen besonders hoch, weil sie Angreifern einen ersten Fuß in der Tür verschaffen können — in Netzwerken, die auch Identitätsdienste, Dateisysteme, Anwendungsserver, Backup-Infrastruktur und Administrationswerkzeuge enthalten. Ransomware-Gruppen kombinieren die Ausnutzung von Schwachstellen zunehmend mit Diebstahl von Zugangsdaten, lateraler Bewegung im Netzwerk, Datenexfiltration und Verschlüsselung. Das Schließen der Einstiegs-Schwachstelle deckt daher nur einen Teil des Vorfalls ab — es entfernt nicht automatisch bereits etablierte Persistenz und macht Aktivitäten, die vor dem Einspielen des Patches stattfanden, nicht ungeschehen.
Recovery-Architektur zählt auch nach dem ersten Zugriff
Die wichtigste praktische Lehre aus Ransomware-Vorfällen: Organisationen sollten davon ausgehen, dass präventive Kontrollen irgendwann versagen können. Das Backup-Design sollte einen Angreifer einkalkulieren, der über administrativen Zugriff verfügt und aktiv versucht, Wiederherstellungsoptionen zu zerstören. Das bedeutet: Backup-Zugangsdaten trennen, administrative Zugriffswege begrenzen, unabhängige Kopien vorhalten und prüfen, ob Wiederherstellungsdaten nicht heimlich beschädigt oder gelöscht wurden.
Ein nützlicher Maßstab ist die 3-2-1-1-0-Backup-Regel, die dem klassischen 3-2-1-Modell eine Offline- oder unveränderliche Kopie sowie die Anforderung von null unüberprüften Backup-Fehlern hinzufügt. Es geht nicht um die Eselsbrücke selbst. Es geht um Ausfallunabhängigkeit. Ein Backup, das unter demselben Identitätssystem, demselben Netzwerkvertrauen oder derselben administrativen Kontrolle wie die Produktivumgebung liegt, kann bei genau derselben Kompromittierung angreifbar werden.
Was Administratoren jetzt tun sollten
Organisationen, die betroffene SharePoint-Versionen betreiben, sollten den Patch-Status anhand der Microsoft-Anleitung und der CISA-Informationen zu ausgenutzten Schwachstellen bestätigen und anschließend Logs und Security-Telemetriedaten auf Anzeichen einer früheren Kompromittierung prüfen. Systeme, die vor dem Patchen exponiert waren, verdienen eine Untersuchung — nicht die Annahme, das Update habe den Vorfall bereits erledigt.
Recovery-Teams sollten den Vorfall auch zum Anlass nehmen, ihre Wiederherstellungsverfahren zu überprüfen. Identifizieren Sie, welche SharePoint-Inhalte, Konfigurationen, Datenbanken, Identitätsabhängigkeiten und verbundenen Dienste für einen vollständigen Wiederaufbau nötig wären. Testen Sie, ob sich diese Komponenten in eine saubere Umgebung wiederherstellen lassen, und messen Sie, wie lange das dauert.
Das größere Muster ist vertraut: Eine Schwachstelle wird bekannt, Ausnutzung folgt, und Ransomware-Akteure verwandeln dieselbe Schwäche irgendwann in einen Weg zur Monetarisierung. Am besten kommen die Organisationen durch diesen Ablauf, die schnelles Patchen mit Isolation, Monitoring, unabhängigen Backups und eingeübter Wiederherstellung kombinieren.
Ursprünglich veröffentlicht im Mr.PlanB-Blog.