CVE-2026-45659
Microsoft SharePoint Server Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2026-45659 ist eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten in Microsoft Office SharePoint Server mit hohem Schweregrad und einem CVSS-3.1-Wert von 8.8. Die Lücke erlaubt es einem authentifizierten Angreifer, ein manipuliertes serialisiertes Objekt über das Netzwerk zu senden, das SharePoint ohne ausreichende Prüfung rekonstruiert, was zu Remote Code Execution auf dem Server führt. Da SharePoint häufig sensible Unternehmensdokumente speichert und in Active Directory eingebunden ist, kann die Ausnutzung dieser Deserialisierungs-Schwachstelle zur vollständigen Kompromittierung des betroffenen Hosts und zu lateraler Bewegung im Netzwerk führen. CVE-2026-45659 ist im Known-Exploited-Vulnerabilities-(KEV-)Katalog der CISA mit Frist zum 2026-07-04 gelistet, und der EPSS-Wert von 0,03219 (86,7. Perzentil) zeigt eine deutlich erhöhte Ausnutzungswahrscheinlichkeit, weshalb ein zeitnahes Patchen von SharePoint unerlässlich ist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | sharepoint server | < 16.0.19725.20280; 2016; 2019 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45659(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-45659(US Government Resource)
Schwachstellentyp
CWE-502: Deserialisierung nicht vertrauenswürdiger Daten
CVE-2026-45659 beruht auf CWE-502: Microsoft SharePoint Server deserialisiert vom Angreifer bereitgestellte Daten, ohne zu überprüfen, ob die resultierenden Objekte gültig und sicher sind. Da SharePoint Objekte aus einem vom Angreifer kontrollierten serialisierten Format rekonstruiert, kann ein authentifizierter Benutzer Eingaben erzeugen, die beliebige Objekte instanziieren und gefährliche Operationen auslösen — der klassische Weg von einer Deserialisierungs-Schwachstelle zur Remote Code Execution.
Mehr erfahren: CWE-502 — Deserialisierung nicht vertrauenswürdiger Daten
Auswirkungsanalyse
CVE-2026-45659 weist einen CVSS-3.1-Wert von 8.8 (HIGH) auf und ist aus der Ferne ohne physischen Zugriff ausnutzbar (Angriffsvektor NETWORK), mit geringer Komplexität und ohne besondere Voraussetzungen (Angriffskomplexität LOW) sowie ohne Benutzerinteraktion, wobei der Angreifer geringe Rechte auf der SharePoint-Instanz benötigt. Eine erfolgreiche Ausnutzung führt zu HIGH-Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit: Der Angreifer kann die in SharePoint gespeicherten sensiblen Dokumente und Zugangsdaten lesen, Inhalte und Systemdateien manipulieren oder zerstören und die Verfügbarkeit der Kollaborationsplattform stören. Zwar bleibt der Scope unverändert, wodurch die direkte Auswirkung auf die SharePoint-Komponente beschränkt ist, doch dient Codeausführung auf einem SharePoint-Server häufig als Ausgangspunkt für eine umfassendere Netzwerkkompromittierung. Angesichts eines EPSS-Werts im 86,7. Perzentil und der durch die KEV-Listung bestätigten aktiven Ausnutzung sollten Organisationen mit betroffenen SharePoint-Versionen diese Schwachstelle dringend priorisieren.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2026-45659 in freier Wildbahn durch Aufnahme in den Known-Exploited-Vulnerabilities-Katalog bestätigt, mit einer behördlichen Behebungsfrist zum 2026-07-04. Der KEV-Ransomware-Status ist derzeit als Unknown gelistet, doch SharePoint-RCE-Lücken sind historisch für ein breites Spektrum von Angreifern attraktiv — von Initial-Access-Brokern bis zu Ransomware-Betreibern. Der EPSS-Wert von 0,03219 ordnet CVE-2026-45659 in das 86,7. Perzentil ein, was auf eine deutlich höhere Ausnutzungswahrscheinlichkeit als beim durchschnittlichen CVE hinweist. In den verfügbaren Referenzen ist kein öffentlicher Proof-of-Concept getaggt, doch die KEV-Listung bedeutet, dass funktionierende Exploit-Werkzeuge bereits im Einsatz sind — Organisationen sollten von laufenden Angriffen ausgehen und sofort patchen.
Behebung
- Sicherheitsupdate des Herstellers einspielen. Gemäß der KEV-Handlungsanweisung der CISA Maßnahmen nach Microsofts Anweisungen umsetzen und die BOD-26-04-Patching-Vorgaben befolgen; sind keine Korrekturen verfügbar, das exponierte Produkt außer Betrieb nehmen. Das MSRC-Advisory unter msrc.microsoft.com nennt das konkrete Update.
- Auf eine korrigierte Version aktualisieren. On-Premises-SharePoint-Server (betroffen sind 2016 und 2019) auf Build 16.0.19725.20280 oder neuer aktualisieren, der die Deserialisierungslücke behebt.
- Netzwerkzugriff einschränken und segmentieren. Den Zugriff auf SharePoint auf vertrauenswürdige Netze und authentifizierte Benutzer beschränken und die Server hinter einen Reverse-Proxy oder eine WAF stellen, die feindliche serialisierte Payloads erkennen und blockieren kann, solange das Patchen noch aussteht.
- Nach vorheriger Ausnutzung suchen. IIS- und SharePoint-ULS-Logs auf auffällige Anfragen und unerwartete Prozesserstellung prüfen (z. B. w3wp.exe, das cmd.exe/PowerShell startet) sowie auf neu angelegte Web-Shells oder Dateien — angesichts der bestätigten Ausnutzung in freier Wildbahn.
- Deserialisierung langfristig härten. Wo konfigurierbar, Allowlists erzwingen, die festlegen, welche Typen deserialisiert werden dürfen, und Integritätsprüfungen (HMAC/Signaturen) für serialisierte Daten ergänzen, damit nicht vertrauenswürdige Objekte vor der Rekonstruktion verworfen werden.
Technische Details
CVE-2026-45659 ist eine Deserialisierungs-Schwachstelle in Microsoft Office SharePoint Server, die ausgelöst wird, wenn die Anwendung Objekte aus einer von einem authentifizierten Netzwerkclient gelieferten serialisierten Payload rekonstruiert. Serialisierung wandelt Objekte in ein übertragbares Format um und Deserialisierung baut sie wieder auf; da SharePoint die eingehenden Daten nicht ausreichend prüft, kann ein Angreifer, der den serialisierten Datenstrom kontrolliert, die Instanziierung beliebiger Objekte erzwingen und Gadget-Ketten aufrufen, die während der Deserialisierung Code ausführen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff netzwerkbasiert und von geringer Komplexität ist, nur niedrige Rechte erfordert und keine Benutzerinteraktion benötigt, weshalb er volle HIGH-Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit bei unverändertem Scope erreicht. Diese Fehlerklasse (CWE-502) gehört zu den schwerwiegendsten in Unternehmenssoftware, gerade weil sie eine Datenverarbeitungsroutine in ein Primitiv für beliebige Codeausführung verwandelt.
Häufig gestellte Fragen
Wird CVE-2026-45659 aktiv ausgenutzt?
Ja. CVE-2026-45659 ist im Known-Exploited-Vulnerabilities-Katalog der CISA gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt, mit Behebungsfrist zum 2026-07-04. Der EPSS-Wert von 0,03219 (86,7. Perzentil) weist zusätzlich auf eine erhöhte Ausnutzungswahrscheinlichkeit hin. Eine Ransomware-Beteiligung ist derzeit als Unknown gelistet.
Welche Produkte sind von CVE-2026-45659 betroffen?
Betroffen ist Microsoft SharePoint Server, konkret SharePoint Server 2016 und 2019 sowie Builds vor 16.0.19725.20280. Organisationen mit On-Premises-SharePoint sollten ihre Build-Nummer prüfen und das Update priorisieren. Cloud-gehostetes SharePoint Online wird von Microsoft verwaltet.
Wie behebe ich CVE-2026-45659?
Spielen Sie Microsofts Sicherheitsupdate gemäß dem MSRC-Advisory ein und aktualisieren Sie betroffene SharePoint-Server auf Build 16.0.19725.20280 oder neuer. Beschränken Sie während des Patchens den Netzwerkzugriff auf vertrauenswürdige Benutzer, setzen Sie WAF-/Reverse-Proxy-Filterung ein und prüfen Sie die Logs auf Anzeichen einer vorherigen Kompromittierung, wie im Abschnitt Behebung beschrieben.
Wie schwerwiegend ist CVE-2026-45659?
CVE-2026-45659 ist als HIGH mit einem CVSS-3.1-Wert von 8.8 eingestuft. Sie erlaubt Remote Code Execution mit nur geringen Rechten und ohne Benutzerinteraktion und erreicht HIGH-Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Aufnahme in den KEV-Katalog und der EPSS-Wert im 86,7. Perzentil machen sie zu einer Schwachstelle mit hoher Priorität für die sofortige Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.