Alle bekannten SharePoint-Schwachstellen, einschließlich ToolShell und CVE-2026-32201, umgehend patchen und Sicherheitssysteme überprüfen.
▸▾Herleitung der Bewertung(5)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2026-32201, CVE-2026-45659, CVE-2026-56164, CVE-2026-58644, CVE-2026-50522, CVE-2026-55040+25
- Hoechster CVSS-Basiswert 9.8+18
- EPSS 69.5 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+10
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-32201, CVSS-Vektor AV:N/PR:N)+10
- 2 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Warlock Expands SharePoint Exploitation in Critical Infrastructure Attacks
Die Ransomware-Gruppe Warlock (Longlegs/Storm-2603) zielt weiterhin auf SharePoint-Server ab, um kritische Infrastrukturen, Regierungs- und Bildungseinrichtungen anzugreifen. Betroffen sind Organisationen weltweit, darunter Versorgungsunternehmen, Telekommunikationsanbieter und Universitäten. Unternehmen sollten SharePoint-Schwachstellen, insbesondere ToolShell und neuere Bugs wie CVE-2026-32201, umgehend patchen und ihre Sicherheitssysteme überprüfen.
SecBoard-Einordnung
Die Ausnutzung von SharePoint-Schwachstellen ermöglicht Ransomware-Angriffe, die zu Betriebsunterbrechungen und Datenverlust in kritischen Sektoren führen können. Die Gruppe Warlock ist aktiv und zielt auf diese Sektoren ab.
Realistisch schlimmster Fall: Erfolgreiche Ransomware-Bereitstellung, die zu einem vollständigen Ausfall von SharePoint-Diensten und möglicherweise anderen Systemen führt, mit erheblichen Betriebsunterbrechungen und Datenverlust.
Im erfassten Bestand
- ▸6. erfasste Meldung zu ZIRCONIUM innerhalb von 90 Tagen.
- ▸CVE-2026-55040 kommt damit in 15 erfassten Meldungen der letzten 90 Tage vor.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 9.8 · CRITICAL
- EPSS
- 15.9%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-07-16
- Patch
- unbekannt
- CVSS
- 9.8 · CRITICAL
- EPSS
- 3.0%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-07-22
- Patch
- unbekannt
- CVSS
- 9.1 · CRITICAL
- EPSS
- 69.5%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität
- im KEV seit
- 2026-08-18
- Patch
- unbekannt
- Zuweisende CNA
- secure@microsoft.com
- CVSS
- 8.8 · HIGH
- EPSS
- 2.7%
- Über das Netz
- ja
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-07-01
- Patch
- unbekannt
- CVSS
- 6.5 · MEDIUM
- EPSS
- 43.4%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität
- im KEV seit
- 2026-04-14
- Patch
- unbekannt
- CVSS
- 5.3 · MEDIUM
- EPSS
- 1.0%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Integrität
- im KEV seit
- 2026-07-14
- Patch
- unbekannt
Betroffen
Organisationen, die SharePoint-Server betreiben, insbesondere in kritischen Infrastrukturen (Versorgungsunternehmen, Telekommunikation), Regierungs- und Bildungseinrichtungen (Universitäten).
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (3)
- cpe:2.3:a:microsoft:sharepoint_server:*:*:*:*:subscription:*:*:*
- cpe:2.3:a:microsoft:sharepoint_server:2016:*:*:*:enterprise:*:*:*
- cpe:2.3:a:microsoft:sharepoint_server:2019:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie, ob alle SharePoint-Server die neuesten Sicherheitspatches für bekannte Schwachstellen, insbesondere ToolShell und CVE-2026-32201, installiert haben.
- ▸Scannen Sie Ihre SharePoint-Umgebung auf Anzeichen einer Kompromittierung oder ungewöhnlicher Aktivitäten, die auf eine Ausnutzung hindeuten könnten.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass Ihre Intrusion Detection/Prevention Systeme (IDS/IPS) und Endpoint Detection and Response (EDR) Lösungen so konfiguriert sind, dass sie bekannte Angriffsmuster im Zusammenhang mit SharePoint-Exploits erkennen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es werden keine spezifischen IOCs (Indicators of Compromise) genannt.
- ▸Die genaue Methode der Ransomware-Bereitstellung nach dem initialen Zugriff ist nicht detailliert beschrieben.
- ▸Die spezifischen Versionen von SharePoint, die anfällig sind, werden nicht genannt, außer der allgemeinen Erwähnung von 'SharePoint-Schwachstellen'.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir SharePoint extern erreichbar?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Die Ransomware-Gruppe Warlock ... nutzt weiterhin SharePoint-Schwachstellen aus“
„Die Ransomware-Gruppe Warlock ... zielt weiterhin auf SharePoint-Server ab“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.