CISA bestätigt: Hacker nutzten SharePoint-Sicherheitslücke aus, bevor Microsoft einen Patch bereithielt

Microsofts "Patch Tuesday" im Juli 2026 enthielt leise eine Korrektur für eine der schwerwiegendsten SharePoint-Sicherheitslücken, die in diesem Jahr bekannt wurden – und es stellte sich heraus, dass Angreifer sie bereits nutzten, bevor der Patch existierte. Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) bestätigte am 16. Juli, dass CVE-2026-58644 als Zero-Day in freier Wildbahn ausgenutzt wurde, und nahm sie in ihren Katalog bekannter ausgenutzter Schwachstellen auf. Bundesbehörden haben bis zum 19. Juli Zeit, die Korrektur anzuwenden.

Was die Sicherheitslücke tatsächlich bewirkt

CVE-2026-58644 ist eine Sicherheitslücke durch die Deserialisierung nicht vertrauenswürdiger Daten mit einem CVSS-Score von 9,8 von 10 – nahe der maximalen Schwere, die eine Schwachstelle erreichen kann. In der Praxis ermöglicht sie einem Angreifer, der bereits über Site-Owner-Berechtigungen auf einer SharePoint-Site verfügt, auf dem zugrunde liegenden Server beliebigen Code aus der Ferne zu schreiben und auszuführen. Site-Owner-Rechte sind in Unternehmensbereitstellungen von SharePoint üblich – sie werden routinemäßig an Teamleiter und Abteilungsleiter vergeben, die ihre eigenen Dokumentbibliotheken verwalten, nicht nur an IT-Administratoren – was den praktischen Pool an Konten erweitert, die ein Angreifer als Sprungbrett kompromittieren könnte.

Die Sicherheitslücke betrifft alle unterstützten lokalen Editionen von SharePoint Server: Subscription Edition, 2019 und 2016. Beachten Sie, dass es sich um ein lokales Problem handelt – SharePoint Online, die in der Cloud gehostete Version von Microsoft, ist nicht betroffen, da Microsoft Patches direkt auf dieser Plattform verwaltet.

Was Angreifer damit anstellten

Einmal drin nutzten Angreifer die Sicherheitslücke für eine spezifische und gefährliche Form der Persistenz: das Stehlen von Internet Information Services (IIS)-Maschinenschlüsseln. Diese Schlüssel verwenden IIS-Server, um Sitzungsdaten zu validieren und zu verschlüsseln – mit einem gestohlenen Maschinenschlüssel kann ein Angreifer Authentifizierungstoken fälschen, die Passwortzurücksetzungen und sogar die Behebung der ursprünglichen Sicherheitslücke überstehen, es sei denn, die Schlüssel selbst werden rotiert. Dies ist genau die Art von Post-Exploitation-Technik, die aus einer einzelnen Sicherheitslücke einen langfristigen Fußabdruck macht.

Das Timing-Problem des Zero-Day

Microsoft lieferte den Patch für CVE-2026-58644 am 14. Juli im Rahmen seines regulären "Patch Tuesday"-Zyklus aus. Die Bestätigung der CISA, dass die Sicherheitslücke bereits vor diesem Veröffentlichungsdatum ausgenutzt wurde, bedeutet, dass dies in die Kategorie Zero-Day fällt – Angreifer hatten funktionierende Exploits, bevor die Verteidiger einen anzuwendenden Patch hatten. Das ist eine wesentlich schlechtere Position als eine Sicherheitslücke, die gleichzeitig bekannt gemacht und gepatcht wird, da Organisationen kein Zeitfenster zur Vorbereitung hatten, bevor die Ausnutzung begann.

Was die CISA Organisationen zu tun empfiehlt

Über die bloße Anwendung des Patches vom 14. Juli hinaus umfassen die Anweisungen der CISA für betroffene Organisationen die Aktivierung der Microsoft Antimalware Scan Interface (AMSI)-Integration für SharePoint, das aktive Scannen von Umgebungen auf Einbruchsspuren, die mit dieser Kampagne übereinstimmen, die Einrichtung verbesserter Protokollierung, um Folgeaktivitäten zu erfassen, und – entscheidend – die Vermeidung direkter Internet-Exposition lokaler SharePoint-Server, wo immer möglich. Organisationen, die vor dem Patchen kompromittiert wurden, sollten auch ihre IIS-Maschinenschlüssel rotieren, da das alleinige Patchen der Sicherheitslücke bereits gestohlene Schlüssel nicht ungültig macht.

Warum dies immer wieder bei SharePoint passiert

Dies ist nicht das erste Mal, dass lokales SharePoint in diesem Jahr ins Visier genommen wurde – die CISA gab Mitte Juli eine entsprechende Härtungswarnung für die Plattform heraus, nachdem eine separate Welle von Ausnutzungsversuchen aufgetreten war. Lokales SharePoint bleibt ein hochwertiges Ziel, gerade weil es im Zentrum des unternehmensweiten Dokumentenmanagements steht und oft breiten internen Zugriff hat, sodass eine einzige kompromittierte Instanz eine Startrampe in das restliche Unternehmensnetzwerk darstellt.

Was Organisationen jetzt tun sollten

Wenn Ihre Organisation lokalen SharePoint Server (Subscription Edition, 2019 oder 2016) betreibt, stellen Sie sofort sicher, dass der Patch vom 14. Juli angewendet wird – die bundesstaatliche Frist vom 19. Juli ist auch für Organisationen außerhalb der Regierung ein vernünftiger Maßstab. Aktivieren Sie die AMSI-Integration, falls noch nicht geschehen, überprüfen Sie Konten auf Site-Owner-Ebene auf Anzeichen einer Kompromittierung und rotieren Sie IIS-Maschinenschlüssel, wenn es Hinweise auf eine Ausnutzung vor dem Patchen gibt. Wenn Ihre SharePoint-Bereitstellung nicht zwingend eine direkte Internet-Exposition benötigt, ist dies ein guter Zeitpunkt, sie stattdessen hinter eine VPN oder eine interne Netzwerkgrenze zu stellen.