Die technischen Details machen die Schwachstelle leicht ausnutzbar:

• CVSS 3.1 Score: 8,8 (Hoch) .
• Angriffsvektor: Netzwerkbasiert .
• Angriffskomplexität: Gering .
• Erforderliche Berechtigungen: Gering. Ein Angreifer benötigt lediglich einfache „Site-Mitglied“-Rechte auf dem SharePoint-Server .
• Benutzerinteraktion: Keine. Der Angriff kann durchgeführt werden, ohne dass ein ahnungsloser Nutzer auf einen Link klickt oder eine Datei herunterlädt .
• Auswirkungen: Hoch auf Vertraulichkeit, Integrität und Verfügbarkeit. Ein erfolgreicher Angriff kann zu einer vollständigen Kompromittierung des Systems und einem Datenverlust führen .

Diese Kombination aus geringen Berechtigungen, keiner Benutzerinteraktion und netzwerkbasiertem Zugriff macht diese Schwachstelle zu einem Hauptziel für Angreifer. Ein einziges kompromittiertes Standard-Nutzerkonto kann so zur Eintrittspforte für die vollständige Server-Kontrolle werden.

Betroffene Versionen

Dies ist ein Problem für lokale Installationen (On-Premises). Die Schwachstelle betrifft die folgenden drei Versionen des SharePoint Servers. SharePoint Online ist nicht betroffen .

• Microsoft SharePoint Server Subscription Edition (vor 16.0.5552.1002)
• Microsoft SharePoint Server 2019 (vor 16.0.10417.20128)
• Microsoft SharePoint Enterprise Server 2016 (vor 16.0.5552.1002)

Für jede betroffene Version hat Microsoft ein spezifisches Update mit einer Build-Nummer bereitgestellt, mit der Administratoren den eigenen Patch-Status überprüfen können. Der Patch wurde am 12. Mai 2026 als Teil eines Standard-Sicherheitsupdates verfügbar gemacht, aber nach der Klärung des Schweregrads noch einmal besonders hervorgehoben .

Ein bekanntes Muster: Deserialisierungsangriffe auf SharePoint häufen sich

CVE-2026-45659 ist kein Einzelfall. Es ist das jüngste Glied in einer ganzen Reihe von folgenschweren SharePoint-Deserialisierungslücken, die lokale Installationen plagen.

Ein prominentes Beispiel ist CVE-2026-20963, eine ähnliche Schwachstelle mit einem bestätigten CVSS-Wert von 9,8. Diese war so gefährlich, dass die US-Cybersicherheitsbehörde CISA sie am 18. März 2026 in ihren Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) aufnahm, nachdem sie eine aktive Ausnutzung bestätigt hatte . Das europäische Computer-Notfallteam CERT-EU berichtete, dass Microsoft seine Sicherheitsmeldung zu CVE-2026-20963 aktualisieren musste, um klarzustellen, dass die Schwachstelle sogar von einem nicht authentifizierten Angreifer ausnutzbar ist – es war also nicht einmal eine Anmeldung erforderlich .

Andere verwandte Probleme, wie CVE-2026-33110, betreffen ebenfalls die Deserialisierung von nicht vertrauenswürdigen Daten und die gleichen Produktlinien . Das Muster ist klar: Angreifer und Sicherheitsforscher durchleuchten die Deserialisierungsmechanismen von SharePoint intensiv, und kritische Schwachstellen werden in besorgniserregender Geschwindigkeit aufgedeckt. Dieser Trend macht ein robustes und zeitnahes Patch-Management für SharePoint-Administratoren wichtiger denn je.

Sofortmaßnahmen und Verteidigungsstrategien

Das Patchen ist die einzige Komplettlösung und zählt zu den absoluten Grundlagen der IT-Sicherheit. Ein mehrschichtiger Verteidigungsansatz (Defense-in-Depth) bietet jedoch zusätzlichen Schutz. Für Organisationen, die SharePoint lokal betreiben müssen, werden folgende Schritte empfohlen:

1. Patch umgehend einspielen (Priorität 1): Dies ist die mit Abstand wichtigste Maßnahme. Suchen und installieren Sie das spezifische Sicherheitsupdate für Ihre SharePoint-Version und priorisieren Sie dabei alle Server, die aus dem Internet erreichbar sind .
2. Benutzerrechte prüfen und einschränken: Da CVE-2026-45659 lediglich einen Zugang als „Site-Mitglied“ erfordert, ist eine gründliche Prüfung der Benutzerberechtigungen entscheidend. Setzen Sie das Prinzip der geringsten Rechtevergabe (Principle of Least Privilege) konsequent um und entfernen Sie nicht benötigte Zugänge .
3. Server-Überwachung verstärken: Setzen Sie eine Lösung zur Endpunkterkennung und -reaktion (Endpoint Detection and Response, EDR) ein, um nach Aktivitäten nach einer erfolgten Ausnutzung zu suchen. Sicherheitsteams sollten auf verdächtige Prozesserstellungen aus dem SharePoint-Anwendungspool (w3wp.exe), ungewöhnliche ausgehende Netzwerkverbindungen oder Web-Shells sowie anomales Verhalten von Dienstkonten achten.
4. Behebung verwandter Schwachstellen prüfen: Ein Patch für CVE-2026-45659 ist unerlässlich, aber ein Server bleibt verwundbar, wenn er noch nicht gegen das aktiv ausgenutzte CVE-2026-20963 gepatcht ist. Nutzen Sie den aktuellen Patch-Zyklus, um zu bestätigen, dass alle damit zusammenhängenden SharePoint-Sicherheitsupdates eingespielt wurden .
5. Angriffsfläche verkleinern: Wenn SharePoint-Server nicht aus dem öffentlichen Internet erreichbar sein müssen, setzen Sie netzwerkseitige Beschränkungen um, um jeglichen externen Zugriff zu blockieren. Für Dienste, die zwingend öffentlich erreichbar sein müssen, stellen Sie sicher, dass sich diese hinter einer Web Application Firewall (WAF) mit Regeln zum Blockieren gängiger Deserialisierungsangriffe befinden.

Die technischen Details machen die Schwachstelle leicht ausnutzbar:

• CVSS 3.1 Score: 8,8 (Hoch) .
• Angriffsvektor: Netzwerkbasiert .
• Angriffskomplexität: Gering .
• Erforderliche Berechtigungen: Gering. Ein Angreifer benötigt lediglich einfache „Site-Mitglied“-Rechte auf dem SharePoint-Server .
• Benutzerinteraktion: Keine. Der Angriff kann durchgeführt werden, ohne dass ein ahnungsloser Nutzer auf einen Link klickt oder eine Datei herunterlädt .
• Auswirkungen: Hoch auf Vertraulichkeit, Integrität und Verfügbarkeit. Ein erfolgreicher Angriff kann zu einer vollständigen Kompromittierung des Systems und einem Datenverlust führen .

Diese Kombination aus geringen Berechtigungen, keiner Benutzerinteraktion und netzwerkbasiertem Zugriff macht diese Schwachstelle zu einem Hauptziel für Angreifer. Ein einziges kompromittiertes Standard-Nutzerkonto kann so zur Eintrittspforte für die vollständige Server-Kontrolle werden.

Betroffene Versionen

Dies ist ein Problem für lokale Installationen (On-Premises). Die Schwachstelle betrifft die folgenden drei Versionen des SharePoint Servers. SharePoint Online ist nicht betroffen .

• Microsoft SharePoint Server Subscription Edition (vor 16.0.5552.1002)
• Microsoft SharePoint Server 2019 (vor 16.0.10417.20128)
• Microsoft SharePoint Enterprise Server 2016 (vor 16.0.5552.1002)

Für jede betroffene Version hat Microsoft ein spezifisches Update mit einer Build-Nummer bereitgestellt, mit der Administratoren den eigenen Patch-Status überprüfen können. Der Patch wurde am 12. Mai 2026 als Teil eines Standard-Sicherheitsupdates verfügbar gemacht, aber nach der Klärung des Schweregrads noch einmal besonders hervorgehoben .

Ein bekanntes Muster: Deserialisierungsangriffe auf SharePoint häufen sich

CVE-2026-45659 ist kein Einzelfall. Es ist das jüngste Glied in einer ganzen Reihe von folgenschweren SharePoint-Deserialisierungslücken, die lokale Installationen plagen.

Ein prominentes Beispiel ist CVE-2026-20963, eine ähnliche Schwachstelle mit einem bestätigten CVSS-Wert von 9,8. Diese war so gefährlich, dass die US-Cybersicherheitsbehörde CISA sie am 18. März 2026 in ihren Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) aufnahm, nachdem sie eine aktive Ausnutzung bestätigt hatte . Das europäische Computer-Notfallteam CERT-EU berichtete, dass Microsoft seine Sicherheitsmeldung zu CVE-2026-20963 aktualisieren musste, um klarzustellen, dass die Schwachstelle sogar von einem nicht authentifizierten Angreifer ausnutzbar ist – es war also nicht einmal eine Anmeldung erforderlich .

Andere verwandte Probleme, wie CVE-2026-33110, betreffen ebenfalls die Deserialisierung von nicht vertrauenswürdigen Daten und die gleichen Produktlinien . Das Muster ist klar: Angreifer und Sicherheitsforscher durchleuchten die Deserialisierungsmechanismen von SharePoint intensiv, und kritische Schwachstellen werden in besorgniserregender Geschwindigkeit aufgedeckt. Dieser Trend macht ein robustes und zeitnahes Patch-Management für SharePoint-Administratoren wichtiger denn je.

Sofortmaßnahmen und Verteidigungsstrategien

Das Patchen ist die einzige Komplettlösung und zählt zu den absoluten Grundlagen der IT-Sicherheit. Ein mehrschichtiger Verteidigungsansatz (Defense-in-Depth) bietet jedoch zusätzlichen Schutz. Für Organisationen, die SharePoint lokal betreiben müssen, werden folgende Schritte empfohlen:

1. Patch umgehend einspielen (Priorität 1): Dies ist die mit Abstand wichtigste Maßnahme. Suchen und installieren Sie das spezifische Sicherheitsupdate für Ihre SharePoint-Version und priorisieren Sie dabei alle Server, die aus dem Internet erreichbar sind .
2. Benutzerrechte prüfen und einschränken: Da CVE-2026-45659 lediglich einen Zugang als „Site-Mitglied“ erfordert, ist eine gründliche Prüfung der Benutzerberechtigungen entscheidend. Setzen Sie das Prinzip der geringsten Rechtevergabe (Principle of Least Privilege) konsequent um und entfernen Sie nicht benötigte Zugänge .
3. Server-Überwachung verstärken: Setzen Sie eine Lösung zur Endpunkterkennung und -reaktion (Endpoint Detection and Response, EDR) ein, um nach Aktivitäten nach einer erfolgten Ausnutzung zu suchen. Sicherheitsteams sollten auf verdächtige Prozesserstellungen aus dem SharePoint-Anwendungspool (w3wp.exe), ungewöhnliche ausgehende Netzwerkverbindungen oder Web-Shells sowie anomales Verhalten von Dienstkonten achten.
4. Behebung verwandter Schwachstellen prüfen: Ein Patch für CVE-2026-45659 ist unerlässlich, aber ein Server bleibt verwundbar, wenn er noch nicht gegen das aktiv ausgenutzte CVE-2026-20963 gepatcht ist. Nutzen Sie den aktuellen Patch-Zyklus, um zu bestätigen, dass alle damit zusammenhängenden SharePoint-Sicherheitsupdates eingespielt wurden .
5. Angriffsfläche verkleinern: Wenn SharePoint-Server nicht aus dem öffentlichen Internet erreichbar sein müssen, setzen Sie netzwerkseitige Beschränkungen um, um jeglichen externen Zugriff zu blockieren. Für Dienste, die zwingend öffentlich erreichbar sein müssen, stellen Sie sicher, dass sich diese hinter einer Web Application Firewall (WAF) mit Regeln zum Blockieren gängiger Deserialisierungsangriffe befinden.