Kurzfassung

Microsoft SharePoint Server ist von der Schwachstelle CVE-2026-45659 betroffen. Nach den vorliegenden Informationen wird sie bereits aktiv ausgenutzt und kann einem autorisierten Angreifer die Ausführung von Code über das Netzwerk ermöglichen. Für Unternehmen im DACH-Raum ist das besonders relevant, weil SharePoint in vielen Organisationen zentral für Dokumentenablage, Zusammenarbeit und interne Prozesse eingesetzt wird.

Die Einstufung als aktiv ausgenutzte Schwachstelle erhöht den Handlungsdruck deutlich. Organisationen sollten die betroffenen Systeme umgehend prüfen, Herstellerempfehlungen umsetzen und die Vorgaben aus CISA BOD 26-04 sowie die geforderten Triage-Maßnahmen berücksichtigen.

Was ist passiert?

Bei CVE-2026-45659 handelt es sich um eine Deserialisierungs-Schwachstelle in Microsoft SharePoint Server. Solche Fehler entstehen typischerweise dann, wenn nicht vertrauenswürdige Daten so verarbeitet werden, dass daraus unerwartete Programmabläufe entstehen können. Laut den verfügbaren Angaben erlaubt die Schwachstelle einem bereits autorisierten Angreifer, Code über das Netzwerk auszuführen.

Besonders kritisch ist der Hinweis aus der CISA KEV-Liste, dass die Schwachstelle in freier Wildbahn aktiv ausgenutzt wird. Das bedeutet in der Praxis: Es handelt sich nicht nur um ein theoretisches Risiko, sondern um eine aktuell relevante Bedrohungslage mit unmittelbarem Exploit-Potenzial.

Technische Details

Die Schwachstelle betrifft Microsoft SharePoint Server und wird als Problem bei der Deserialisierung untrusted data beschrieben. Aus technischer Sicht ist das gefährlich, weil Angreifer Daten einschleusen können, die vom System falsch interpretiert werden und dadurch unerwünschte Aktionen auslösen. Im schlimmsten Fall kann dies zur Ausführung von Befehlen oder Schadcode führen.

Wichtig ist die Einordnung: Die Angriffsbedingung setzt laut Quelle einen autorisierten Angreifer voraus. Das reduziert das Risiko für rein externe, unautorisierte Erstzugriffe nicht automatisch, denn in realen Angriffsketten werden solche Schwachstellen häufig nach einem initialen Zugriff, über kompromittierte Konten oder im Rahmen lateraler Bewegungen genutzt. Für Unternehmen ist daher nicht nur die Internet-Exposition relevant, sondern auch die Frage, welche internen Identitäten und Berechtigungen auf SharePoint zugreifen können.

Die Aufnahme in CISA KEV zeigt zudem, dass die Schwachstelle als sicherheitskritisch und praktisch ausnutzbar bewertet wird. In solchen Fällen ist die Zeit bis zur Umsetzung von Gegenmaßnahmen ein wesentlicher Risikofaktor.

Wer ist betroffen?

Direkt betroffen sind Organisationen, die Microsoft SharePoint Server einsetzen. Das betrifft im DACH-Raum vor allem Unternehmen, Behörden, Bildungseinrichtungen und andere Institutionen mit internen Kollaborationsplattformen. Je stärker SharePoint in Geschäftsprozesse eingebunden ist, desto größer ist der mögliche Schaden bei einer erfolgreichen Ausnutzung.

Für Privatpersonen ist das Risiko in der Regel geringer, da SharePoint Server typischerweise in Unternehmens- oder Behördenumgebungen betrieben wird. Indirekte Auswirkungen sind jedoch möglich, etwa wenn persönliche Daten über betroffene Unternehmenssysteme verarbeitet werden oder wenn Dienstleister und Partner kompromittiert werden.

Besonders gefährdet sind Umgebungen mit Internetzugang, unklarer Patchlage, schwacher Segmentierung oder weitreichenden Berechtigungen. Auch hybride Szenarien und ausgelagerte Betriebsmodelle sollten sorgfältig geprüft werden, da die Verantwortung für die Risikobewertung nicht allein beim Hersteller liegt.

Empfohlene Maßnahmen

Unternehmen sollten unverzüglich die Herstellerhinweise umsetzen und die von CISA geforderten Mitigations anwenden. Falls keine wirksamen Gegenmaßnahmen verfügbar sind, ist laut Vorgabe auch die vorübergehende Außerbetriebnahme des Produkts zu prüfen. Entscheidend ist außerdem die Bewertung jedes einzelnen Assets hinsichtlich Internet-Exposition und Betriebsrelevanz.

  • Betroffene SharePoint-Instanzen identifizieren und priorisieren.
  • Herstellerempfehlungen und verfügbare Updates oder Mitigations sofort umsetzen.
  • Die Anforderungen aus CISA BOD 26-04 in die Patch- und Risikopriorisierung einbeziehen.
  • Forensische Triage vorbereiten, um Hinweise auf eine mögliche Kompromittierung zu prüfen.
  • Exponierte Systeme besonders streng bewerten und gegebenenfalls isolieren.
  • Berechtigungen und administrative Zugriffe überprüfen, um Missbrauch zu begrenzen.

Für DACH-Unternehmen ist ein abgestimmtes Vorgehen zwischen IT-Betrieb, Security-Team und Management sinnvoll. Da SharePoint häufig geschäftskritisch ist, sollte die technische Absicherung mit einem klaren Kommunikations- und Eskalationsplan verbunden werden.

Einschätzung von CyberSecurity-News.de

Die Relevanz von CVE-2026-45659 ist hoch. Der Grund ist nicht nur die technische Natur der Schwachstelle, sondern vor allem die Kombination aus aktivem Missbrauch, möglicher Codeausführung und der weiten Verbreitung von SharePoint in Unternehmensumgebungen. Für Organisationen im DACH-Raum ist das ein klassischer Fall, in dem die Schwachstellenverwaltung nicht verzögert werden darf.

Aus Praxissicht ist besonders kritisch, dass SharePoint oft tief in Identitäts-, Dokumenten- und Prozesslandschaften eingebunden ist. Eine Kompromittierung kann daher weit über den einzelnen Server hinausreichen und zu Datenabfluss, Manipulation, Betriebsunterbrechungen oder als Ausgangspunkt für weitere Angriffe dienen. Unternehmen sollten deshalb nicht nur patchen, sondern auch die Erreichbarkeit, die Berechtigungsstruktur und mögliche Spuren einer Ausnutzung bewerten.

Unsere Bewertung: sehr hohe operative Relevanz, insbesondere für öffentlich erreichbare oder geschäftskritische Systeme. Wer SharePoint Server betreibt, sollte die Schwachstelle als prioritäres Incident- und Patch-Thema behandeln.

Fazit

CVE-2026-45659 ist eine aktiv ausgenutzte Schwachstelle in Microsoft SharePoint Server mit dem Potenzial zur Codeausführung über das Netzwerk. Für Unternehmen ist das ein akutes Risiko, das schnelle technische und organisatorische Maßnahmen erfordert. Je stärker SharePoint in die interne Zusammenarbeit und Dokumentensteuerung eingebunden ist, desto größer kann der Schaden ausfallen.

Privatpersonen sind nur indirekt betroffen, während Unternehmen und öffentliche Einrichtungen im DACH-Raum sofort prüfen sollten, ob ihre Systeme exponiert oder bereits kompromittiert sind. Wer SharePoint einsetzt, sollte die Herstelleranweisungen und CISA-Vorgaben ohne Verzögerung umsetzen und bei fehlenden Mitigations die weitere Nutzung kritisch bewerten.

Quellenangabe

Weiterführende Quelle: NVD / CVE-2026-45659: Microsoft SharePoint Server Deserialization of Untrusted Data Vulnerability