SharePoint-Server im Visier: Kritische Lücke wird kurz nach dem Patchday ausgenutzt

Wenige Tage nach Microsofts Juli-Patchday mit 622 geschlossenen Schwachstellen haben Angreifer eine der SharePoint-Lücken ins Visier genommen. CVE-2026-58644 erlaubt angemeldeten Angreifern, über unsichere Deserialisierung Schadcode auf den Server zu schleusen, und ist mit einem CVSS-Wert von 9,8 als kritisch eingestuft. Betroffen sind die On-Premises-Varianten SharePoint Server 2016, 2019 und die Subscription Edition; die Cloud-Version SharePoint Online bleibt außen vor.

Zunächst führte Microsoft die Lücke als nicht ausgenutzt. Das änderte sich schnell: Sicherheitsfirmen beobachteten Angriffe kurz nach Veröffentlichung der Details, die US-Behörde CISA nahm die Schwachstelle in ihren Katalog aktiv ausgenutzter Lücken auf und setzte Bundesbehörden eine Patch-Frist von nur drei Tagen. Besonders unangenehm: Die Angreifer ziehen IIS-Maschinenschlüssel ab. Damit können sie manipulierte Anfragen gültig signieren und behalten Zugriff, selbst wenn der Patch längst installiert ist.

Wer SharePoint selbst betreibt, sollte jetzt patchen, die AMSI-Integration aktivieren und den Server auf Spuren einer Kompromittierung prüfen. Die Schlüssel erst nach der Bereinigung rotieren — sonst greift der Angreifer die neuen gleich mit ab.