Die US-Behörde CISA hat am 15. Juli 2026 vor aktiven Angriffen auf On-Premises-SharePoint gewarnt. Es geht um CVE-2026-32201, CVE-2026-45659 und CVE-2026-56164. Die Angreifer umgehen die Anmeldung, führen Code aus und stehlen IIS-Machine-Keys. Der Artikel ordnet die drei Lücken ein, nennt die Frist für US-Behörden und beschreibt Härtung, Rotation und Prüfung der Server.
CISA warnt am 15. Juli 2026 vor drei SharePoint-Schwachstellen, die Angreifer bereits ausnutzen. Fast 10.000 Server sind laut Shadowserver direkt aus dem Internet erreichbar.
Das Wichtigste in Kürze
- Jede aktuell gepflegte Version ist angreifbar. Das sind SharePoint Server 2016, 2019 und die Subscription Edition.
- Die Angreifer stehlen die IIS-Machine-Keys. Das macht die Bereinigung aufwendiger, denn laut Tenable reicht die Rotation der Schlüssel allein nicht.
- US-Behörden mussten CVE-2026-56164 bis zum 17. Juli beheben. Die Frist gilt laut BleepingComputer nach der Direktive BOD 26-04.
- Patchen allein genügt nicht. CISA empfiehlt zusätzlich AMSI, die Rotation der Machine Keys und keinen direkten Internetzugang.
Sicherheit: Drei Lücken, eine Angriffskette
BleepingComputer hat über die Warnung am 15. Juli 2026 erstmals berichtet und den Bericht laut Seite nicht aktualisiert. Nach der Meldung nutzen Angreifer die Fehler, um die Anmeldung zu umgehen, Code aus der Ferne auszuführen und danach Machine Keys zu stehlen.
| CVE | Art der Lücke | CVSS | Bemerkung |
|---|---|---|---|
| CVE-2026-32201 | Spoofing durch fehlerhafte Eingabeprüfung | 6,5 | Laut SecurityWeek im April 2026 gepatcht und als Zero-Day genutzt |
| CVE-2026-45659 | Remote Code Execution durch unsichere Deserialisierung | 8,8 | Laut SecurityWeek im Mai ausgenutzt, ausserplanmässig gepatcht |
| CVE-2026-56164 | Rechteausweitung | 9,8 | Frist für US-Behörden: 17. Juli 2026 |
Zudem gibt es zwei weitere kritische Lücken, CVE-2026-55040 und CVE-2026-58644. Ausgenutzt werden sie laut BleepingComputer bisher nicht. Microsoft hat für alle Fehler Updates veröffentlicht. Tenable nennt als Beispiel für CVE-2026-56164 den Stand 16.0.5561.1001 für SharePoint Server 2016 und 16.0.10417.20175 für 2019.
SharePoint: Warum die Machine Keys zählen
Deshalb zählen die Machine Keys: Tenable beobachtet, dass Angreifer sie abgreifen, per Deserialisierung Persistenz aufbauen und Schadsoftware ablegen. Tenable warnt: Die Rotation der Schlüssel allein ist keine vollständige Bereinigung, solange die Spuren der Schlüsselernte auf dem Server bleiben.
Dabei ist die Reichweite gross. Shadowserver zählt fast 10.000 aus dem Internet erreichbare SharePoint-Server. Über 800 davon sind laut BleepingComputer nicht gegen CVE-2026-32201 und CVE-2026-45659 gepatcht.
Was Admins jetzt tun
Damit nichts übersehen wird, gehst du in dieser Reihenfolge vor:
- Spiele die Updates für alle fünf genannten Lücken ein.
- Aktiviere die AMSI-Integration für SharePoint und die IIS-Arbeitsprozesse und setze den Request Body Scan auf Full.
- Rotiere die IIS-Machine-Keys, nachdem die Server gepatcht und auf Spuren geprüft sind.
- Entferne den direkten Internetzugang. Wo Zugriff von aussen nötig ist, setze einen Reverse Proxy auf Schicht 7 davor.
- Beschränke den Zugriff auf die Central Administration.
Zu einer weiteren SharePoint-Lücke mit aktiven Angriffen gibt es den Beitrag CVE-2026-65660.
Fazit
Die drei Lücken sind in der Praxis angekommen, und der Diebstahl der Machine Keys macht die Bereinigung aufwendiger. Patche deshalb zuerst, härte dann die Server und rotiere die Schlüssel erst danach. Ein SharePoint-Server ohne Not im Internet bleibt das grösste vermeidbare Risiko.
Quellen: BleepingComputer, Tenable, SecurityWeek. Foto: ysen / Pixabay. Stand: 15. Juli 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.