CISA warnt: Kritische RCE-Lücken in SharePoint und FortiSandbox aktiv ausgenutzt

Was ist passiert?

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat kürzlich drei kritische Schwachstellen in ihren Katalog der aktiv ausgenutzten Schwachstellen (Known Exploited Vulnerabilities – KEV) aufgenommen. Dies signalisiert eine hohe Dringlichkeit für alle betroffenen Organisationen.

Konkret handelt es sich um:

1. CVE-2026-58644: Eine kritische Zero-Day Remote Code Execution (RCE) Schwachstelle in Microsoft SharePoint Server, die auf einer Deserialisierung von nicht vertrauenswürdigen Daten basiert. Diese Lücke ermöglicht es einem nicht authentifizierten Angreifer, Code über das Netzwerk auszuführen.
2. CVE-2026-25089: Eine OS Command Injection Schwachstelle in Fortinet FortiSandbox, die die Ausführung von unautorisiertem Code ermöglicht.
3. CVE-2026-39808: Eine weitere OS Command Injection Schwachstelle in Fortinet FortiSandbox, ebenfalls mit dem Potenzial zur Ausführung von unautorisiertem Code.
4. CVE-2026-39813: Eine Path Traversal Schwachstelle in Fortinet FortiSandbox, die eine Privilegienerhöhung über speziell präparierte HTTP-Anfragen ermöglichen kann. Obwohl diese Lücke nicht explizit im CISA KEV-Katalog erwähnt wird, ist sie eng mit den anderen FortiSandbox-Lücken verknüpft und wurde ebenfalls aktiv ausgenutzt.

Die Aufnahme in den KEV-Katalog bedeutet, dass diese Schwachstellen nicht nur theoretisch existieren, sondern bereits aktiv von Bedrohungsakteuren in realen Angriffen ausgenutzt werden. Für US-Bundesbehörden besteht eine verbindliche Frist zur Behebung dieser Schwachstellen.

Warum ist das relevant?

Die Relevanz dieser Meldung ist extrem hoch, da es sich um aktiv ausgenutzte Schwachstellen in weit verbreiteten Unternehmensprodukten handelt. Insbesondere die SharePoint RCE (CVE-2026-58644) ist als Zero-Day eingestuft, was bedeutet, dass die Schwachstelle vor der öffentlichen Bekanntgabe und der Verfügbarkeit eines Patches bereits ausgenutzt wurde. Eine solche Lücke im SharePoint Server, der oft als zentraler Daten- und Kollaborationshub dient, kann weitreichende Folgen haben, bis hin zur vollständigen Kompromittierung von Unternehmensnetzwerken.

Die FortiSandbox-Schwachstellen (CVE-2026-25089, CVE-2026-39808, CVE-2026-39813) sind ebenfalls kritisch, da FortiSandbox-Appliances oft am Netzwerkperimeter oder in kritischen Segmenten zur Erkennung von Malware eingesetzt werden. Eine Kompromittierung dieser Systeme kann Angreifern einen initialen Zugang oder eine Möglichkeit zur Umgehung von Sicherheitskontrollen verschaffen. Die hohe CVSS-Bewertung von 9.8 für alle genannten CVEs unterstreicht das maximale Bedrohungspotenzial.

Die Aufnahme in den CISA KEV-Katalog ist ein klares Signal, dass diese Schwachstellen eine unmittelbare und ernsthafte Bedrohung darstellen und sofortige Maßnahmen erfordern.

Betroffene Branchen und Technologien

Betroffene Branchen: Aufgrund der weiten Verbreitung von Microsoft SharePoint und Fortinet FortiSandbox sind potenziell alle Branchen betroffen, die diese Produkte einsetzen. Dies umfasst insbesondere:

• Öffentliche Verwaltung (aufgrund der CISA-Fristen für Bundesbehörden)
• Finanzdienstleistungen
• Gesundheitswesen
• Fertigungsindustrie
• IT-Dienstleister
• Jede Organisation, die SharePoint für interne oder externe Kollaboration nutzt oder FortiSandbox zur Bedrohungsanalyse einsetzt.

Betroffene Technologien:

• Microsoft SharePoint Server: Versionen, die von CVE-2026-58644 betroffen sind (Details zu spezifischen Versionen sind im Patch-Release von Microsoft zu erwarten).
• Fortinet FortiSandbox: Versionen 5.0.0 bis 5.0.5 und 4.4.0 bis 4.4.8 sind von CVE-2026-25089, CVE-2026-39808 und CVE-2026-39813 betroffen.

Priorisierungssignale

• CISA KEV-Katalog: Die Aufnahme in den KEV-Katalog ist das stärkste Signal für aktive Ausnutzung und höchste Priorität.
• Zero-Day (CVE-2026-58644): Die SharePoint-Lücke wurde bereits vor der Veröffentlichung eines Patches ausgenutzt, was auf eine fortgeschrittene Bedrohung hindeutet.
• CVSS 9.8: Alle genannten CVEs weisen eine kritische CVSS-Bewertung auf, was auf maximale Auswirkungen und einfache Ausnutzbarkeit hindeutet.
• RCE-Fähigkeit: Die Möglichkeit zur Remote Code Execution, insbesondere ohne Authentifizierung (SharePoint), ist das höchste Risiko, da sie Angreifern die volle Kontrolle über das System ermöglicht.
• EPSS-Werte: Während der EPSS-Wert für CVE-2026-58644 noch niedrig ist (1%), was typisch für sehr neue Zero-Days sein kann, ist der Wert für CVE-2026-39808 (84%) extrem hoch und bestätigt die hohe Wahrscheinlichkeit der Ausnutzung.

Defensive Empfehlungen

1. Dringendes Patch-Management: Priorisieren Sie die sofortige Installation der von Microsoft und Fortinet bereitgestellten Patches für alle betroffenen SharePoint Server und FortiSandbox-Instanzen. Überprüfen Sie regelmäßig die Herstellerseiten auf Updates.
2. Umfassendes Asset-Management: Identifizieren Sie alle Instanzen von Microsoft SharePoint Server und Fortinet FortiSandbox in Ihrer Umgebung, um sicherzustellen, dass keine Systeme übersehen werden.
3. Netzwerksegmentierung und Zugriffskontrolle: Stellen Sie sicher, dass SharePoint-Server und FortiSandbox-Appliances angemessen segmentiert sind und nur der notwendige Zugriff von vertrauenswürdigen Quellen erlaubt ist. Reduzieren Sie die Angriffsfläche.
4. Monitoring und Logging: Implementieren Sie robustes Logging und Monitoring für SharePoint-Server und FortiSandbox-Appliances. Achten Sie auf ungewöhnliche Aktivitäten, wie z.B. unerwartete Prozessstarts, Dateizugriffe oder Netzwerkverbindungen, die auf eine Kompromittierung hindeuten könnten.
5. Endpoint Detection and Response (EDR): Stellen Sie sicher, dass EDR-Lösungen auf Servern, die SharePoint hosten, aktiv sind und verdächtige Verhaltensweisen erkennen können.
6. Incident Response Plan: Überprüfen und aktualisieren Sie Ihren Incident Response Plan für den Fall einer Kompromittierung dieser kritischen Systeme.
7. Red Teaming / Penetration Testing: Nutzen Sie die Informationen zu diesen Schwachstellen, um interne Red Teaming-Übungen oder Penetration Tests durchzuführen und die Wirksamkeit Ihrer Verteidigungsmaßnahmen zu überprüfen.

Quellenhinweise

• [The Hacker News (2026-07-17)] CISA Adds Exploited SharePoint RCE Zero-Day CVE-2026-58644 to KEV
• [CISA Current Activity (2026-07-16)] CISA Adds Three Known Exploited Vulnerabilities to Catalog
• [The Hacker News (2026-06-16)] Attackers Exploit Three Fortinet FortiSandbox Flaws, One Patched Last Week