// HEISE ONLINE — CYBERSECURITY
Patch seit Mai verfügbar: Ransomware attackiert Microsoft Sharepoint
Eine schwere Sicherheitslücke in Microsoft SharePoint wird nun von Ransomware ausgenutzt. Ein Patch steht bereit, ungeschützte Systeme auch.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Administratoren, die Microsoft SharePoint Server in ihrer Infrastruktur betreiben, sollten prüfen, ob sie die Mai-Updates installiert haben. Denn die hochriskante SharePoint-Lücke CVE-2026-45659 (CVSS 8.8, Risiko „hoch“), die Angreifern das Einschleusen und Ausführen von Schadcode ermöglicht, wird jetzt aktiv für Ransomware-Kampagnen ausgenutzt.
Das geht aus einem Update im Known Exploited Vulnerabilities Catalogue der US-Behörde CISA (Cybersecurity & Infrastructure Security Agency) vom Dienstag hervor. Nähere Informationen zu den Einbrüchen liegen heise security derzeit nicht vor. Der SharePoint-Anbieter hat Ende Mai entsprechende Sicherheitsupdates für SharePoint Enterprise Server 2016 (das auch für Sharepoint Server 2016 anzuwenden ist), SharePoint Server 2019 sowie die Server Subscription Edition bereitgestellt.
Microsoft hat die aktive Ausnutzung in freier Wildbahn gegenüber heise security weder bestätigt noch in Abrede gestellt. Kunden, die die Updates nicht automatisch einspielen, sollen sie manuell installieren, um geschützt zu sein, sagt der Datenkonzern.
Doch haben Scans der Shadowserver Foundation am Montag mehr als 200 IP-Adressen gefunden, unter denen über das Internet zugängliche und ungepatchte SharePoint-Server erreichbar sind. Etwa die Hälfte davon ist den USA zugeordnet, zirka ein Viertel Europa. Für Deutschland weist die Statistik aktuell rund ein Dutzend solcher ungesicherten SharePoint-Server aus, für Österreich und die Schweiz niedrige einstellige Zahlen. Es könnte zusätzliche Fälle geben, die bei den Scans nicht gefunden oder erkannt worden sind. Anfang Juni sah Shadowserver noch gut 1.100 ungepatchte Sharepoint-Instanzen online.
Das Sicherheitsproblem besteht aufgrund Deserialisierung nicht vertrauenswürdiger Daten, also deren Entpacken und Verarbeiten bis hin zu deren Ausführung. Als Deserialisierung bezeichnet man den Prozess, mit dem ein Programm Daten aus einer sequenziellen Darstellungsform (etwa einer Text- oder Binärdatei) einliest und in Objekte umwandelt, mit denen es interaktiv arbeiten kann; die Daten liegen dann in einer Speicherform mit Random Access vor, etwa dem Arbeitsspeicher. Angreifer, die an einem ungepatchten SharePoint angemeldet sind, können über das Netzwerk Softwarecode einschleusen. Dafür sind keine erhöhten Rechte nötig, und die Attacke funktioniert auch aus dem Internet.
Da Angreifer vorab keine detaillierten Kenntnisse über verwundbare Systeme benötigen, um diese erfolgreich anzugreifen, gilt so ein Angriff als wenig komplex. Dennoch schätzte Microsoft im Mai, dass der Missbrauch dieser Schwachstelle weniger wahrscheinlich sei (“Exploitation less likely“). Der CVSS Temporal Score wurde damals bei 7.7 bestimmt.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.