CVE-2026-45659

HIGH(8.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score53/100 — HOCH

CVSS 8.8 — Hoch
Im CISA KEV-Katalog (aktiv ausgenutzt)

Erwähnungen (letzte 60 Tage)

Artikel

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

2.7%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

8.8

Technische Schwere

SecBoard-Einordnung

CVE-2026-45659 betrifft Microsoft Office SharePoint und ist eine Schwachstelle vom Typ Deserialization of untrusted data. Ein autorisierter Angreifer kann diese nutzen, um über das Netzwerk Code auszuführen. Die erfolgreiche Ausnutzung führt zu einer Remote Code Execution (RCE). Die Schwachstelle wird aktiv ausgenutzt, wie die Aufnahme in den CISA KEV-Katalog zeigt. Mit einem CVSS-Score von 8.8 (HIGH) und einer EPSS-Wahrscheinlichkeit von 76% für eine Ausnutzung stellt sie ein erhebliches Risiko dar. Security-Teams sollten umgehend Maßnahmen zur Behebung ergreifen. Es wird dringend empfohlen, verfügbare Patches oder Updates für betroffene SharePoint-Installationen sofort einzuspielen, um das Risiko einer Kompromittierung zu minimieren. Zusätzlich sollte die Überwachung auf ungewöhnliche Aktivitäten im SharePoint-Umfeld verstärkt werden.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Deserialization of untrusted data in Microsoft Office SharePoint allows an authorized attacker to execute code over a network.

Erkennung & Indikatoren

Ausnutzung

Die Schwachstelle wird aktiv ausgenutzt und wurde am 1. Juli 2026 in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen. Sie ermöglicht es Angreifern, Remote Code Execution (RCE) zu erreichen und Post-Exploitation-Aktivitäten durchzuführen, wie das Stehlen von IIS-Maschinenschlüsseln und die Durchführung von Deserialisierungstechniken, um Persistenz zu erlangen und Malware zu imple

Behobene Versionen

SharePoint Server Subscription Edition (Patch vom Mai 2026)
SharePoint Server 2019 (Patch vom Mai 2026)
SharePoint Enterprise Server 2016 (Patch vom Mai 2026)

Threat-Hunting-Queries

Die Schwachstelle ermöglicht Remote Code Execution (RCE) durch Deserialisierung von nicht vertrauenswürdigen Daten. Die Detektion sollte sich auf ungewöhnliche Prozessstarts, Netzwerkverbindungen und Dateierstellungen auf SharePoint-Servern konzentrieren, die auf eine erfolgreiche Ausnutzung hindeuten könnten. Insbesondere ist auf Aktivitäten zu achten, die auf das Stehlen von IIS-Maschinenschlüss

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName =~ "w3wp.exe" or InitiatingProcessFileName =~ "OWSTIMER.EXE" // SharePoint worker processes
| where FileName in ("powershell.exe", "cmd.exe", "pwsh.exe", "mshta.exe", "regsvr32.exe", "rundll32.exe")
| where ProcessCommandLine has_any ("-enc", "-e", "-decode", "-nop", "-w hidden", "downloadfile", "iex", "invoke-expression", "new-object system.net.webclient") or ProcessCommandLine contains "/c"
| project TimeGenerated, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, FolderPath, InitiatingProcessParentFileName, InitiatingProcessCommandLine
| join kind=leftouter (
    DeviceNetworkEvents
    | where InitiatingProcessFileName =~ "w3wp.exe" or InitiatingProcessFileName =~ "OWSTIMER.EXE"
    | where RemoteIP !in ("127.0.0.1", "::1") and RemoteIP !startswith "10." and RemoteIP !startswith "172.16." and RemoteIP !startswith "192.168."
    | summarize make_set(RemoteIP) by DeviceName, InitiatingProcessFileName
) on DeviceName, InitiatingProcessFileName
| extend RemoteIPs = set_RemoteIP
| where isnotempty(RemoteIPs)

Splunk SPL

index=windows sourcetype=WinEventLog:Security EventCode=4688 (ParentProcessName="w3wp.exe" OR ParentProcessName="OWSTIMER.EXE") (NewProcessName="powershell.exe" OR NewProcessName="cmd.exe" OR NewProcessName="pwsh.exe" OR NewProcessName="mshta.exe" OR NewProcessName="regsvr32.exe" OR NewProcessName="rundll32.exe") (CommandLine="*-enc*" OR CommandLine="*-e*" OR CommandLine="*-decode*" OR CommandLine="*-nop*" OR CommandLine="*-w hidden*" OR CommandLine="*downloadfile*" OR CommandLine="*iex*" OR CommandLine="*invoke-expression*" OR CommandLine="*new-object system.net.webclient*" OR CommandLine="*/c*")
| table _time, host, ParentProcessName, NewProcessName, CommandLine, ProcessId, ParentProcessId

Sigma

title: SharePoint RCE via Deserialization
id: 00000000-0000-0000-0000-000000000001
status: experimental
description: Detects potential Remote Code Execution on SharePoint servers via deserialization vulnerability (CVE-2026-45659).
author: SecBoard Operations
date: 2026/07/15
references:
  - https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-urges-sharepoint-hardening-after-new-exploitations
tags:
  - attack.execution
  - attack.t1203
  - cve.2026.45659
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith:
      - '\w3wp.exe'
      - '\OWSTIMER.EXE'
    Image|endswith:
      - '\powershell.exe'
      - '\cmd.exe'
      - '\pwsh.exe'
      - '\mshta.exe'
      - '\regsvr32.exe'
      - '\rundll32.exe'
    CommandLine|contains:
      - '-enc'
      - '-e'
      - '-decode'
      - '-nop'
      - '-w hidden'
      - 'downloadfile'
      - 'iex'
      - 'invoke-expression'
      - 'new-object system.net.webclient'
      - '/c'
  condition: selection
level: high

Elastic ES|QL

from process where
  (process.parent.executable.name == "w3wp.exe" or process.parent.executable.name == "OWSTIMER.EXE") and
  (process.executable.name == "powershell.exe" or process.executable.name == "cmd.exe" or process.executable.name == "pwsh.exe" or process.executable.name == "mshta.exe" or process.executable.name == "regsvr32.exe" or process.executable.name == "rundll32.exe") and
  (process.args contains "-enc" or process.args contains "-e" or process.args contains "-decode" or process.args contains "-nop" or process.args contains "-w hidden" or process.args contains "downloadfile" or process.args contains "iex" or process.args contains "invoke-expression" or process.args contains "new-object system.net.webclient" or process.args contains "/c")

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Ausgewertete Quellen

In diesen Analysen erwähnt

Wochenlage KW29: Multiple Zero-Days und MFA-Umgehungen dominieren das LagebildSecBoard