CVE-2026-58644

CRITICAL(9.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score59/100 — HOCH

CVSS 9.8 — Kritisch
Im CISA KEV-Katalog (aktiv ausgenutzt)

Erwähnungen (letzte 60 Tage)

Artikel

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

15.9%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2026-58644 betrifft Microsoft Office SharePoint und ist eine kritische Schwachstelle, die auf einer Deserialisierung von nicht vertrauenswürdigen Daten basiert. Ein nicht autorisierter Angreifer kann diese Schwachstelle über das Netzwerk ausnutzen, um beliebigen Code auszuführen. Die direkte Auswirkung ist eine vollständige Kompromittierung des betroffenen Systems.

Die Kritikalität dieser Schwachstelle ist extrem hoch, was durch einen CVSS-Score von 9.8 (CRITICAL) unterstrichen wird. Besonders besorgniserregend ist, dass die Schwachstelle bereits im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet ist, was bedeutet, dass sie aktiv ausgenutzt wird. Die Exploit-Wahrscheinlichkeit (EPSS) liegt bei 45%, was ebenfalls auf ein hohes Risiko hinweist.

Security-Teams sollten diese Schwachstelle umgehend priorisieren und alle verfügbaren Patches für Microsoft Office SharePoint sofort einspielen. Da die Schwachstelle aktiv ausgenutzt wird, ist schnelles Handeln entscheidend, um eine Kompromittierung zu verhindern. Zusätzlich sollten Systeme auf Anzeichen einer Ausnutzung überwacht werden.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Deserialization of untrusted data in Microsoft Office SharePoint allows an unauthorized attacker to execute code over a network.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). Microsoft hat seinen Bulletin überarbeitet, um klarzustellen, dass CVE-2026-58644 in freier Wildbahn ausgenutzt wurde, was bedeutet, dass der Mangel als Zero-Day vor der Verfügbarkeit der Korrekturen als Waffe eingesetzt wurde.

Behobene Versionen

Microsoft SharePoint Server Subscription Edition
Microsoft SharePoint Server 2019
Microsoft SharePoint Enterprise Server 2016

Threat-Hunting-Queries

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName contains "SharePoint" // Adjust based on actual SharePoint process name
| where FileName in ("powershell.exe", "cmd.exe", "pwsh.exe") or ProcessCommandLine contains "-EncodedCommand" or ProcessCommandLine contains "/c"
| summarize count() by DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine
| where count_ > 5 // Adjust threshold to reduce FPs

Splunk SPL

index=* sourcetype=WinEventLog:Security EventCode=4688 NewProcessName IN ("powershell.exe", "cmd.exe", "pwsh.exe") ParentProcessName=*SharePoint* | stats count by ComputerName, ParentProcessName, NewProcessName, CommandLine | where count > 5

Sigma

title: SharePoint Deserialization RCE
id: 00000000-0000-0000-0000-000000000001
status: experimental
description: Detects potential remote code execution via deserialization in SharePoint by monitoring suspicious child processes.
author: SecBoard
date: 2026/07/17
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|contains: 'SharePoint'
    Image|endswith:
      - '\powershell.exe'
      - '\cmd.exe'
      - '\pwsh.exe'
  condition: selection

Elastic ES|QL

from process where process.parent.executable : "*SharePoint*" and process.executable : ("*powershell.exe", "*cmd.exe", "*pwsh.exe") | stats count(process.pid) by host.name, process.parent.executable, process.executable, process.command_line | where count > 5

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Ausgewertete Quellen

In diesen Analysen erwähnt

CISA warnt: Kritische RCE-Lücken in SharePoint und FortiSandbox aktiv ausgenutztSecBoard Wochenlage KW29: Multiple Zero-Days und MFA-Umgehungen dominieren das LagebildSecBoard