CVE-2026-45659 betrifft Microsoft SharePoint und wurde von Microsoft im Mai mit Sicherheitsupdates für SharePoint Enterprise Server 2016, SharePoint Server 2019 und SharePoint Server Subscription Edition adressiert. Der Hersteller erklärte damals, dass Angreifer ohne großes Vorwissen über das System und mit wiederholbar erfolgreicher Schadlastausführung gegen die anfällige Komponente vorgehen können. Die Schwachstelle geht auf eine fehlerhafte Deserialisierung nicht vertrauenswürdiger Daten zurück und ermöglicht bei ungepatchten Servern Remotecodeausführung mit niedrigen Rechten.
Die Cybersecurity and Infrastructure Security Agency (CISA) nahm die Lücke am 1. Juli in ihren Known Exploited Vulnerabilities Catalog auf. Zugleich ordnete die Behörde an, dass Behörden der Federal Civilian Executive Branch ihre Systeme innerhalb von drei Tagen absichern müssen. Damals warnte CISA, dieser Typ von Schwachstelle sei ein häufiger Angriffsvektor böswilliger Cyberakteure und berge erhebliche Risiken für die Bundesverwaltung.
In einer späteren Handlungsempfehlung rief CISA Sicherheitsteams dazu auf, betroffene Server auf Anzeichen einer Ausnutzung zu überwachen, die neuesten Microsoft-Patches einzuspielen, die erfolgreiche Installation zu prüfen und Patch-Zyklen zu verkürzen. Außerdem empfahl die Behörde, die Windows Antimalware Scan Interface-Integration für SharePoint-Webanwendungen zu aktivieren und Erkennungen von Microsoft Defender Antivirus zu nutzen, um Kompromittierungen zu erkennen und zu beheben.
Nach Angaben von Shadowserver sind derzeit mehr als 8.500 Microsoft-SharePoint-Server direkt aus dem Internet erreichbar. Mehr als 200 davon sind demnach noch nicht gegen CVE-2026-45659 gepatcht. Microsoft selbst hat den Hinweis zu CVE-2026-45659 bislang nicht aktualisiert, um die Schwachstelle als aktiv ausgenutzt zu kennzeichnen. CISA hat nun jedoch in einem Dienstags-Update des KEV-Katalogs zusätzlich vermerkt, dass Ransomware-Gruppen die Lücke missbrauchen.
Seit November 2021 hat CISA insgesamt 14 aktiv ausgenutzte Microsoft-SharePoint-Schwachstellen markiert. Acht davon wurden nach Angaben der Behörde ebenfalls in Ransomware-Angriffen eingesetzt.
Bereits im Juni bestätigte CISA zudem, dass Ransomware-Gruppen eine schwerwiegende Microsoft-Defender-Schwachstelle zur Rechteausweitung ausnutzen, die den Namen BlueHammer trägt. Die als CVE-2026-33825 verfolgte Lücke wurde laut Bericht Anfang April von einem Sicherheitsforscher mit dem Namen „Nightmare Eclipse“ zusammen mit Proof-of-Concept-Exploitcode veröffentlicht. Sie wurde demnach auch als Zero-Day genutzt, um auf die Datenbank des Security Account Manager zuzugreifen, die Passwort-Hashes lokaler Konten enthält. Microsoft hat jedoch bislang auch für CVE-2026-33825 nicht bestätigt, dass die Schwachstelle tatsächlich in freier Wildbahn ausgenutzt wird.