Die US-Cybersicherheitsbehörde CISA hat eine kritische Schwachstelle in Microsoft SharePoint Server in ihr Verzeichnis bekanntermaßen ausgenutzter Sicherheitslücken (Known Exploited Vulnerabilities Catalog, KEV) aufgenommen.
Bei der als CVE-2026-45659 identifizierten Schwachstelle handelt es sich um eine RCE-Lücke (Remote Code Execution), die es Angreifern ermöglicht, aus der Ferne Schadcode auf betroffenen Systemen auszuführen. Berichten zufolge wird die Schwachstelle derzeit aktiv für Angriffe auf Unternehmensnetzwerke missbraucht.
Obwohl Microsoft bereits im Mai 2026 Sicherheitsupdates zur Verfügung gestellt hat, um die Lücke zu schließen, halten die konstatierte Ausnutzung und die damit verbundenen Aktivitäten von Bedrohungsakteuren an. Die Aufnahme in den KEV-Katalog unterstreicht die Dringlichkeit für Organisationen, ihre Installationen zu überprüfen und abzusichern, da die Schwachstelle als erhebliches Risiko für die Informationssicherheit eingestuft wird.
Geringe Hürden für Angreifer und Einsatz von Ransomware
Nach vorliegenden Erkenntnissen sind die technischen Hürden für eine erfolgreiche Kompromittierung vergleichsweise niedrig. Angreifer benötigen für die Ausnutzung von CVE-2026-45659 lediglich Berechtigungen auf der Ebene eines sogenannten „Site-Member“. Diese relativ geringe Autorisierungsstufe ermöglicht es potenziellen Eindringlingen, die Schwachstelle innerhalb einer SharePoint-Umgebung zu triggern und weitreichende Kontrolle über den Server zu erlangen.
Hinter den beobachteten Angriffen steht unter anderem die Bedrohungsgruppe Storm-2603. Sicherheitsanalysten bringen diese Gruppe im Zusammenhang mit der Schwachstelle direkt mit dem Einsatz der sogenannten Warlock-Ransomware in Verbindung. Neben Storm-2603 sollen jedoch noch weitere, nicht näher spezifizierte Gruppen an der aktiven Ausnutzung der SharePoint-Lücke beteiligt sein, was auf ein breites Interesse in der Cyberkriminalität hindeutet.
Wer sich mit der Absicherung von Unternehmensnetzwerken gegen Ransomware und Schwachstellen befasst, findet in diesem E-Book wertvolle Orientierung. Erfahren Sie, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. Gratis-E-Book: IT-Sicherheit ohne teure Investitionen stärken
Fortgeschrittene Techniken zur Persistenz
Die Akteure setzen bei ihren Kampagnen auf methodisch anspruchsvolle Verfahren, um dauerhaften Zugriff auf die kompromittierten Systeme zu gewährleisten. Beobachtet wurde insbesondere der Einsatz von DLL-Seitenladung (DLL Side-Loading), eine Technik, bei der legitime Anwendungen missbraucht werden, um schädliche Programmbibliotheken auszuführen.
Zudem nutzen die Angreifer maßgeschneiderte Backdoors, um ihre Persistenz in den Netzwerken der Opfer zu festigen. Diese individuellen Hintertüren erschweren die Entdeckung durch herkömmliche Sicherheitslösungen und ermöglichen es den Tätern, auch nach einer oberflächlichen Bereinigung des Systems aktiv zu bleiben.
Die aktuelle Bedrohungslage zeigt, dass technische Patches allein oft nicht ausreichen, um komplexe Cyberrisiken und neue gesetzliche Pflichten zu bewältigen. Dieser kostenlose Report klärt auf, welche Maßnahmen Unternehmer jetzt kennen müssen, um ihre Firma proaktiv zu schützen. Kostenlosen Cyber-Security-Report jetzt herunterladen
Überwachung als notwendige Sicherheitsmaßnahme
Angesichts der laufenden Angriffswelle betonen IT-Sicherheitsexperten, dass das bloße Einspielen des von Microsoft bereitgestellten Patches aus dem Mai 2026 im aktuellen Umfeld nicht ausreicht. Da bereits kompromittierte Systeme trotz Patching weiterhin Hintertüren aufweisen könnten, sei eine kontinuierliche Überwachung der IT-Infrastruktur unerlässlich.
Unternehmen werden dazu angehalten, ihre SharePoint-Protokolle und Systemaktivitäten gezielt auf Anomalien zu prüfen, die auf DLL-Seitenladung oder unbefugte Berechtigungsausweitungen hindeuten könnten. Die Empfehlungen des Herstellers und der Sicherheitsbehörden zielen darauf ab, über die reine Fehlerbehebung hinaus eine proaktive Bedrohungssuche (Threat Hunting) zu etablieren, um bereits erfolgte Infektionen rechtzeitig zu identifizieren.
