Es ist das Szenario, vor dem Admins sich am meisten fürchten: Eine Lücke, die ohne Benutzername, ohne Passwort, ohne Klick funktioniert. Genau das passiert gerade mit Microsoft SharePoint. Die Schwachstelle CVE-2026-58644 wurde als Zero-Day ausgenutzt, BEVOR es überhaupt einen Patch gab. Und heute läuft die offizielle Patch-Frist der US-Cybersicherheitsbehörde CISA ab.
GEFAHR! So funktioniert der Angriff
Hinter CVE-2026-58644 steckt eine sogenannte Deserialisierungs-Lücke — Angreifer schicken dem Server manipulierte Datenpakete, die er brav auspackt und ausführt. Das Ergebnis: Remote Code Execution, also fremder Code auf deinem Server. Mit CVSS 9.8 von 10 spielt die Lücke in der obersten Liga.
Besonders fies: Die Angreifer bleiben nicht beim ersten Zugriff stehen. Sicherheitsforscher beobachten, dass nach dem Einbruch IIS-Machine-Keys gestohlen werden. Mit diesen Schlüsseln können sich die Täter dauerhaft festsetzen — selbst wenn du später patchst, kommen sie durch die Hintertür zurück und installieren Malware.
ALLE On-Prem-Versionen betroffen
Die Lücke trifft jede unterstützte SharePoint-Server-Version, die lokal läuft: die Subscription Edition, SharePoint 2019 und SharePoint 2016. Nur SharePoint Online in Microsoft 365 ist außen vor — dort patcht Microsoft selbst.
Microsoft hat die aktive Ausnutzung bestätigt. Die CISA hat CVE-2026-58644 am 16. Juli in ihren KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen — die Liste der Lücken, die nachweislich angegriffen werden. US-Bundesbehörden MÜSSEN bis zum 19. Juli patchen. Das ist HEUTE. Wenn Behörden nur drei Tage Zeit bekommen, weißt du, wie ernst die Lage ist.
Erst im Juli-Patchday hatte Microsoft 622 Lücken auf einen Schlag gestopft — SharePoint war schon dort ein Sorgenkind. Und bereits im Mai zeigte CVE-2026-45659, wie beliebt SharePoint bei Angreifern ist.
So rettest du deinen Server in 5 SCHRITTEN
1. Patchen — jetzt sofort. Microsoft hat Updates für alle drei Versionen veröffentlicht. Dieses Update gehört nicht ins Wartungsfenster nächste Woche, sondern auf heute.
2. Exposition prüfen. Hängt dein SharePoint direkt im Internet? Dann runter damit. Die CISA empfiehlt ausdrücklich: Wenn es öffentlich erreichbar sein muss, dann nur hinter einem Layer-7-Reverse-Proxy mit vorgeschalteter Authentifizierung.
3. Central Administration blocken. Externe Zugriffe auf die SharePoint-Zentraladministration gehören komplett gesperrt.
4. Kompromittierung prüfen. Weil die Lücke als Zero-Day lief, reicht Patchen allein nicht. Prüfe IIS-Logs auf verdächtige POST-Requests und rotiere vorsorglich die Machine Keys.
5. Netzwerk segmentieren. Farm- und Datenbank-Kommunikation nur zu den Systemen erlauben, die sie wirklich brauchen.
FAZIT: Nicht warten — handeln
SharePoint ist für Angreifer ein Volltreffer: zentral, voller Dokumente, oft aus dem Internet erreichbar und in vielen Firmen jahrelang ungepatcht. Wenn dein Unternehmen einen On-Prem-SharePoint betreibt, ist heute der Tag, an dem du den Admin anrufst — auch wenn Sonntag ist.
Häufige Fragen
Welche Versionen sind von CVE-2026-58644 betroffen?
Wie merke ich, ob mein Server schon kompromittiert ist?
Wie behebe ich das Problem konkret?
Gab es schon aktive Angriffe?
Quellen: The Hacker News, Rapid7, SecurityWeek, CISA