Kritische Warnung: CVE-2026-58644 in SharePoint On-Premises bereits ausgebeutet, obligatorisches Patch- und Minderungshandbuch

Die Agentur der Vereinigten Staaten für Infrastruktur und Cybersicherheit ( CISA) hat kritische Sicherheitslücke CVE-2026-58644 in seinen Katalog bekannter und ausgenutzter Sicherheitslücken (KEV) gesetzt, mit der Verpflichtung der Bundesbehörden, Patches vor anzuwenden 19. Juli 2026. Microsoft veröffentlichte die Korrekturen innerhalb der Patch Dienstag von 14. Juli 2026 Technisch gesehen hat der Ausfall eine CVSS-Score von 9.8 und ist aus zwei Gründen besonders gefährlich: Bedienaufwand ist gering und der Angreifer braucht keine tiefe Kenntnis der Umwelt, um wiederholbare Ergebnisse zu erzielen. Es beeinflusst die On-Premises-Versionen von SharePoint Server (Subscription Edition, 2019 und 2016) und fügt anderen SharePoint-Schwachstellen hinzu, die CISA als aktiv ausgeschöpft gemeldet hat und das Risiko für lokale Körper erweitert, die exponiert oder schlecht segmentiert sind. Die Tatsache, dass die CISA diese CVE in ihren KEV-Katalog aufgenommen hat, impliziert ein operatives Mandat für Bundesbehörden und ein Alarmsignal für die anderen Organisationen: Wenn die Sicherheitslücke in KEV auftritt, bedeutet dies in der Regel, dass das reale Risiko unmittelbar bevorsteht und dass die Angreifer es bereits für Intrusionen, Exfiltration und Persistenz-Einrichtung verwenden. Neben CVE-2026-58644 hat die Agentur auf andere Fehler in SharePoint aufmerksam gemacht und parallel dazu kritische Schwachstellen von Fortinet FortiSandbox in den Katalog aufgenommen, was zeigt, dass die aktive Ausbeutungslandschaft breit und vielfältig ist. Sie können das CISA-Register in Ihrem KEV-Katalog überprüfen, um die Daten und Details zu bestätigen: CVE-2026-58644 im CISA KEV Katalog. Wenn SharePoint On-Premises verwaltet wird, müssen die ersten Aktionen sofort durchgeführt werden: die offiziellen Patches von Microsoft anwenden und ihre korrekte Installation auf allen Farmservern überprüfen. Microsoft hält einen Update-Guide und die entsprechende Sicherheitseingabe bei der Beschreibung von Patches und Minderungen aufrecht; es hilft zu verstehen, welche Komponenten korrigiert werden und welche zusätzlichen Schritte empfohlen werden: Microsoft Sicherheitshinweis für CVE-2026-58644. Es ist wichtig zu bestehen, dass SharePoint Online nicht auf Grund des On-Premises-Administrators ist, so dass die Auswirkungen und Verantwortlichkeiten zwischen der Cloud und lokalen Servern unterschiedlich sind. Neben der Anwendung von Patches empfehlen CISA und Microsoft eine Reihe von konkreten Verstärkungen: die Integration mit Antimalware Scan Interface (AMSI) in jede SharePoint Web-Anwendung, Suche und saubere Intrusionsgeräte vor dem Drehen von IIS-Tasten (um zu verhindern, dass sie angegriffen und wiederverwendet werden), die Belichtung von Servern im Internet zu begrenzen und externen Zugriff auf SharePoint Central Administration zu blockieren. Es ist auch kritisch. Überprüfung der Telemetrie(IIS-Log, SharePoint und Sicherheitsereignisse, ungewöhnlicher ausgehender Verkehr), um nützliche Lasten, Web-Shells oder Seitenbewegungen zu erkennen und Beweise vor Änderungen zu bewahren, die forensische Indikatoren zerstören können. Für IT-Antwort- und Führungsteams ist die strategische Empfehlung klar: ein "schnelles Patch, schneller überprüfen" Modell annehmen. Dies bedeutet, die Parkzyklen zu verkürzen, wenn es um kritische Fehler geht, Bereitstellungen und Verifikationen zu automatisieren, Backup- und Recovery-Pläne nachgewiesen zu haben und, wenn möglich, Netzwerksegmentierung und Zugriffssteuerungen anzuwenden, die den Strahlradius im Betrieb reduzieren. Wenn Sie Anzeichen von Engagement erkennen, Container und forensische Verfahren aktivieren, berücksichtigen Sie die Rotation der betroffenen Schlüssel und Passwörter und melden Sie gegebenenfalls die zuständigen Behörden und deren Sicherheitsanbieter. Schließlich ist für nicht-föderale Organisationen die Unterrichtsstunde praktisch: Warten Sie nicht auf eine Verwundbarkeit in einem offiziellen Katalog erscheinen, um es zu priorisieren. Die Kombination von aktiven Ausbeutungen, geringer Angriffskomplexität und Post-Exploitations-Fähigkeiten (wie Maschinenschlüsseldiebstahl und Deserialisations-Persistenz) macht diese Schwachstellen sehr lukrative Intrusionsvektoren für Angreifer. Die Verblendung der Einstiegspunkte, die Aufrechterhaltung des Patchings und die Sichtbarkeit in der Produktion ist die effektivste Verteidigung heute. Weitere Details zum Härten und Best Practices von SharePoint Server finden Sie in der offiziellen Microsoft Sicherheitsdokumentation für SharePoint Server: Pressemitteilung Sicherheitsführer für Server in Microsoft Learn.

Technisch gesehen hat der Ausfall eine CVSS-Score von 9.8 und ist aus zwei Gründen besonders gefährlich: Bedienaufwand ist gering und der Angreifer braucht keine tiefe Kenntnis der Umwelt, um wiederholbare Ergebnisse zu erzielen. Es beeinflusst die On-Premises-Versionen von SharePoint Server (Subscription Edition, 2019 und 2016) und fügt anderen SharePoint-Schwachstellen hinzu, die CISA als aktiv ausgeschöpft gemeldet hat und das Risiko für lokale Körper erweitert, die exponiert oder schlecht segmentiert sind.

Die Tatsache, dass die CISA diese CVE in ihren KEV-Katalog aufgenommen hat, impliziert ein operatives Mandat für Bundesbehörden und ein Alarmsignal für die anderen Organisationen: Wenn die Sicherheitslücke in KEV auftritt, bedeutet dies in der Regel, dass das reale Risiko unmittelbar bevorsteht und dass die Angreifer es bereits für Intrusionen, Exfiltration und Persistenz-Einrichtung verwenden. Neben CVE-2026-58644 hat die Agentur auf andere Fehler in SharePoint aufmerksam gemacht und parallel dazu kritische Schwachstellen von Fortinet FortiSandbox in den Katalog aufgenommen, was zeigt, dass die aktive Ausbeutungslandschaft breit und vielfältig ist. Sie können das CISA-Register in Ihrem KEV-Katalog überprüfen, um die Daten und Details zu bestätigen: CVE-2026-58644 im CISA KEV Katalog.

Wenn SharePoint On-Premises verwaltet wird, müssen die ersten Aktionen sofort durchgeführt werden: die offiziellen Patches von Microsoft anwenden und ihre korrekte Installation auf allen Farmservern überprüfen. Microsoft hält einen Update-Guide und die entsprechende Sicherheitseingabe bei der Beschreibung von Patches und Minderungen aufrecht; es hilft zu verstehen, welche Komponenten korrigiert werden und welche zusätzlichen Schritte empfohlen werden: Microsoft Sicherheitshinweis für CVE-2026-58644. Es ist wichtig zu bestehen, dass SharePoint Online nicht auf Grund des On-Premises-Administrators ist, so dass die Auswirkungen und Verantwortlichkeiten zwischen der Cloud und lokalen Servern unterschiedlich sind.

Neben der Anwendung von Patches empfehlen CISA und Microsoft eine Reihe von konkreten Verstärkungen: die Integration mit Antimalware Scan Interface (AMSI) in jede SharePoint Web-Anwendung, Suche und saubere Intrusionsgeräte vor dem Drehen von IIS-Tasten (um zu verhindern, dass sie angegriffen und wiederverwendet werden), die Belichtung von Servern im Internet zu begrenzen und externen Zugriff auf SharePoint Central Administration zu blockieren. Es ist auch kritisch. Überprüfung der Telemetrie(IIS-Log, SharePoint und Sicherheitsereignisse, ungewöhnlicher ausgehender Verkehr), um nützliche Lasten, Web-Shells oder Seitenbewegungen zu erkennen und Beweise vor Änderungen zu bewahren, die forensische Indikatoren zerstören können.

Für IT-Antwort- und Führungsteams ist die strategische Empfehlung klar: ein "schnelles Patch, schneller überprüfen" Modell annehmen. Dies bedeutet, die Parkzyklen zu verkürzen, wenn es um kritische Fehler geht, Bereitstellungen und Verifikationen zu automatisieren, Backup- und Recovery-Pläne nachgewiesen zu haben und, wenn möglich, Netzwerksegmentierung und Zugriffssteuerungen anzuwenden, die den Strahlradius im Betrieb reduzieren. Wenn Sie Anzeichen von Engagement erkennen, Container und forensische Verfahren aktivieren, berücksichtigen Sie die Rotation der betroffenen Schlüssel und Passwörter und melden Sie gegebenenfalls die zuständigen Behörden und deren Sicherheitsanbieter.

Schließlich ist für nicht-föderale Organisationen die Unterrichtsstunde praktisch: Warten Sie nicht auf eine Verwundbarkeit in einem offiziellen Katalog erscheinen, um es zu priorisieren. Die Kombination von aktiven Ausbeutungen, geringer Angriffskomplexität und Post-Exploitations-Fähigkeiten (wie Maschinenschlüsseldiebstahl und Deserialisations-Persistenz) macht diese Schwachstellen sehr lukrative Intrusionsvektoren für Angreifer. Die Verblendung der Einstiegspunkte, die Aufrechterhaltung des Patchings und die Sichtbarkeit in der Produktion ist die effektivste Verteidigung heute. Weitere Details zum Härten und Best Practices von SharePoint Server finden Sie in der offiziellen Microsoft Sicherheitsdokumentation für SharePoint Server: Pressemitteilung Sicherheitsführer für Server in Microsoft Learn.