KW 29/2026: SharePoint unter Druck, Fortinet und SonicWall im Fokus

Überblick und Einordnung der Woche

Die Sicherheitslage zeigt sich in dieser Woche deutlich angespannter als zuletzt. Prägend ist vor allem, dass mehrere neu diskutierte oder aktiv beobachtete Schwachstellen genau jene Systeme betreffen, die in vielen Organisationen tief in Geschäftsprozesse eingebunden sind: Kollaborationsplattformen, Fernzugangslösungen, Sandboxing-Systeme, Föderationsdienste und geschäftskritische Unternehmensanwendungen. Damit verschiebt sich der Schwerpunkt erneut weg von eher randständigen Spezialkomponenten hin zu Produkten, die in vielen Umgebungen unmittelbar an sensiblen Datenflüssen oder an administrativen Schnittstellen sitzen.

Besonders auffällig ist die starke Aufmerksamkeit rund um Microsoft SharePoint. Dass sich Sicherheitsbehörden und Fachöffentlichkeit gleich mehrfach mit derselben Produktklasse beschäftigen, unterstreicht die operative Relevanz. Wenn zu einer SharePoint-Lücke nicht nur Warnungen, sondern auch Hinweise auf beobachtete Ausnutzung und eine schnelle Aufnahme in einschlägige Kataloge kompromittierter Schwachstellen folgen, ist das ein klares Signal dafür, dass Verteidiger nicht auf reguläre Patch-Zyklen vertrauen sollten, sondern kurzfristig reagieren müssen. Die Woche steht damit exemplarisch für ein Muster, das sich seit einiger Zeit verstärkt: Angriffe konzentrieren sich auf zentralisierte Plattformen, bei denen ein einzelner erfolgreicher Zugriff weitreichende Folgen im internen Netz haben kann.

Daneben zeigen die gemeldeten Schwachstellen bei Fortinet, SonicWall, Oracle und Microsoft Active Directory Federation Services, dass Unternehmen weiterhin mit einem breiten Angriffsbild umgehen müssen. Es geht nicht nur um klassische Perimeter-Systeme, sondern auch um Integrations- und Identitätskomponenten. Gerade diese Mischung ist sicherheitstechnisch brisant: Wer Schwachstellen an den Übergängen zwischen extern erreichbarer Infrastruktur, Authentisierung und internen Fachanwendungen ausnutzt, erhält oft besonders wertvolle Ansatzpunkte für Seitwärtsbewegungen, Persistenz oder Datendiebstahl.

Auch auf der Bedrohungsseite bleibt das Bild belastet. Mehrere bekannte Ransomware-Gruppen waren sichtbar aktiv, und die Lage war nicht auf einzelne Regionen begrenzt. Dass auch Einrichtungen im deutschsprachigen Raum im Umfeld der beobachteten Aktivitäten auftauchten, passt zur übergeordneten Tendenz dieser Woche: Es handelt sich nicht um isolierte Einzelereignisse, sondern um ein Umfeld, in dem technisch verwertbare Schwachstellen und operativ handlungsfähige Erpressergruppen zeitlich eng zusammenfallen.

Schwachstellen und ausgenutzte Sicherheitslücken

Im Zentrum der Woche steht CVE-2026-58644 in Microsoft SharePoint. Die Einordnung dieser Lücke fällt schon deshalb besonders ernst aus, weil sie die Ausführung von Code über das Netzwerk ermöglicht und im Umfeld der Berichterstattung ausdrücklich als aktiv ausgenutzt behandelt wird. SharePoint ist in vielen Unternehmen kein Nebensystem, sondern Teil der täglichen Dokumentenablage, Zusammenarbeit und Prozesssteuerung. Entsprechend hoch ist das Risiko, wenn eine Schwachstelle dort nicht nur theoretisch relevant ist, sondern bereits in Angriffsbeobachtungen auftaucht. Die dazu veröffentlichten Meldungen zeichnen ein konsistentes Bild: Behörden drängen auf sofortige Aktualisierung, und die Diskussion um eine SharePoint-Zero-Day prägt die Lagewahrnehmung dieser Woche deutlich.

Ergänzt wird dieser Schwerpunkt durch die Berichte, dass CISA sowohl CVE-2026-58644 als auch eine weitere neue SharePoint-Lücke nach beobachteter Ausnutzung in ihren Fokus genommen hat. Auch wenn die Wochendaten konkret nur CVE-2026-58644 als Top-Schwachstelle aufführen, ist die thematische Stoßrichtung klar: SharePoint wird derzeit nicht nur aus Administrationssicht gepatcht, sondern aus Incident-Response-Sicht priorisiert. Für Verteidiger bedeutet das typischerweise, dass bloßes Einspielen von Updates nicht als alleinige Maßnahme verstanden werden sollte; ebenso relevant sind Protokollauswertung, Suche nach ungewöhnlichen Aufrufen und eine engere Überwachung privilegierter Aktionen rund um die Plattform.

Ein zweiter Schwerpunkt betrifft Fortinet FortiSandbox. Mit CVE-2026-25089 und CVE-2026-39808 stehen gleich mehrere Schwachstellen im Raum, die als os command injection beschrieben werden. Gerade bei einem Produkt, dessen Aufgabe in der Analyse und Eindämmung verdächtiger Inhalte liegt, wiegt eine solche Klasse von Schwachstellen besonders schwer. Wenn ein Angreifer spezielle Elemente in Betriebssystembefehlen missbrauchen kann, wird aus einer Schutzkomponente potenziell selbst ein Einstiegspunkt. Das ist sicherheitspolitisch bemerkenswert, weil FortiSandbox häufig in Umgebungen mit hohem Schutzbedarf eingesetzt wird und dort mit anderen Sicherheits- und Mail-Systemen verzahnt ist. Schwachstellen in dieser Art von Infrastruktur erhöhen daher nicht nur das Risiko einer direkten Kompromittierung, sondern auch das Risiko von Folgeeffekten in angrenzenden Sicherheitsprozessen.

Auch SonicWall SMA1000 Appliances sind mit CVE-2026-15409 und CVE-2026-15410 prominent vertreten. Fernzugangs- und Secure-Access-Systeme stehen seit Langem im Fokus von Angreifern, weil sie per Design als Tor in Unternehmensnetze fungieren. Wenn zwei Schwachstellen in derselben Produktfamilie zeitgleich Aufmerksamkeit erhalten, lässt sich daraus zumindest ableiten, dass Organisationen mit entsprechender Infrastruktur ihre externe Angriffsfläche erneut prüfen müssen. Selbst dort, wo noch keine breit dokumentierte Ausnutzung bekannt wird, führt die bloße Kombination aus exponierter Position und technischer Relevanz oft zu einer hohen Priorisierung im Patch- und Monitoring-Prozess.

Mit CVE-2026-46817 rückt außerdem Oracle E-Business Suite in den Vordergrund, konkret der Bereich Oracle Payments innerhalb der Komponente File Transmission. Das ist deshalb bemerkenswert, weil hier nicht ein klassisches Randprodukt betroffen ist, sondern eine Anwendung, die in Geschäftsabläufe und potenziell in sensible finanznahe Prozesse eingebunden sein kann. Schwachstellen in solchen Systemen sind aus Sicht von Angreifern doppelt attraktiv: zum einen wegen des möglichen Zugriffs auf wertvolle Daten, zum anderen wegen der Aussicht auf Störungen in betriebskritischen Abläufen. Für Unternehmen mit Oracle-gestützter Prozesslandschaft ist das ein Hinweis darauf, dass Business-Applikationen genauso aufmerksam behandelt werden müssen wie bekannte Infrastrukturprodukte.

Hinzu kommen CVE-2026-56155 in Microsoft Active Directory Federation Services und CVE-2023-4346 im KNX Protocol Connection Authorization Option. Schon diese Kombination zeigt, wie breit das Spektrum der betroffenen Technologien in dieser Woche ausfällt. Active Directory Federation Services berührt das Identitäts- und Vertrauensmodell vieler Organisationen. Schwachstellen in diesem Bereich sind strategisch relevant, weil sie an einem Knotenpunkt zwischen Authentisierung, Single Sign-on und Anwendungszugriff ansetzen. KNX wiederum verweist auf die Schnittstelle zwischen klassischer IT und vernetzter Gebäudetechnik. Dass eine derartige Schwachstelle im Wochenbild auftaucht, ist ein weiterer Hinweis darauf, dass Sicherheitsverantwortliche nicht ausschließlich auf Server und Endpunkte schauen dürfen, sondern auch auf Protokolle und Komponenten, die in betrieblichen Infrastrukturen oft lange unverändert laufen.

Abgerundet wird das Lagebild durch den Artikel zu „LegacyHive“, einem neuen Windows-PoC, der auch nach aktuellem Patchday lauffähig sein soll. Der Hinweis ist nicht als direkte Entsprechung zu einer in der Top-Liste geführten CVE zu lesen, wohl aber als Stimmungsindikator der Woche: Selbst dort, wo Updates eingespielt werden, bleibt Unsicherheit über die tatsächliche Wirksamkeit einzelner Abwehrmaßnahmen. Das erhöht den Druck auf Verteidiger, technische Schutzmechanismen nicht isoliert zu betrachten, sondern mit Härtung, Rechtebegrenzung und forensischer Sichtbarkeit zu kombinieren.

Ransomware-Lage

Auf Seiten der Erpressungsakteure war die Woche von anhaltender Aktivität mehrerer etablierter Gruppen geprägt. Unter den sichtbarsten Namen tauchen qilin, dragonforce, thegentlemen, incransom, akira, nova und arcusmedia auf. Diese Auswahl zeigt bereits, dass das Feld nicht von einem einzelnen dominierenden Akteur bestimmt wird, sondern von einer parallel laufenden Aktivität mehrerer Gruppen mit teils unterschiedlichen Operationsmustern. Für die Einordnung ist das wichtiger als einzelne Bekenntnisse: Wo mehrere Gruppen gleichzeitig präsent sind, steigt für Verteidiger die Wahrscheinlichkeit, dass sehr unterschiedliche Initialzugänge, Werkzeuge und Erpressungsmodelle beobachtet werden.

Qilin und Akira stehen dabei sinnbildlich für jene Gruppen, die weiterhin in der Lage sind, ihre Präsenz über Wochen hinweg aufrechtzuerhalten und in der Berichterstattung regelmäßig aufzutauchen. Dragonforce und incransom ergänzen dieses Bild durch zusätzliche operative Breite. Thegentlemen, nova und arcusmedia unterstreichen wiederum, dass auch weniger breit diskutierte Namen im Tagesgeschäft von Security-Teams relevant bleiben. Gerade diese Mischung aus bekannten und weniger stark beleuchteten Akteuren erschwert die Priorisierung, weil Unternehmen sich nicht auf ein enges Set an typischen Taktiken verlassen können.

Auffällig ist zudem die Gleichzeitigkeit von technisch relevanten Schwachstellen und aktiver Ransomware-Landschaft. Ohne vorschnell direkte Kausalitäten zu behaupten, lässt sich festhalten: Wenn in einer Woche mehrere sicherheitskritische Systeme unter Patch-Druck geraten und parallel mehrere Erpressergruppen sichtbar sind, steigt das Risiko, dass Schwachstellenmanagement und Incident Response unter hoher Belastung zusammenlaufen. Besonders bei Produkten wie SharePoint, SonicWall SMA1000, FortiSandbox oder Active Directory Federation Services ist dieses Spannungsfeld relevant, weil kompromittierte Systeme entweder direkt exponiert sind oder in Vertrauensketten hineinreichen.

Für Organisationen im deutschsprachigen Raum ist die Lage deshalb nicht nur abstrakt bedrohlich, sondern operativ greifbar. Die Wochenlage deutet darauf hin, dass die Region keineswegs am Rand der beobachteten Aktivität steht. Das betrifft nicht nur Großunternehmen, sondern grundsätzlich alle Organisationen, die auf die genannten Plattformen oder vergleichbare Zugangs- und Kollaborationssysteme setzen. Im Ransomware-Kontext bleibt damit die klassische Angriffskette aktuell: ausnutzbare Schwachstelle oder verwertbarer Zugang, gefolgt von Ausbreitung, Datendiebstahl und Erpressung. Die Namen der Gruppen mögen wechseln, das Muster dahinter bleibt in dieser Woche klar erkennbar.

Bemerkenswerte Vorfälle und Themen der Woche

Die Berichterstattung wurde in dieser Woche klar von SharePoint dominiert. Gleich mehrere Schlagzeilen drehten sich um die Aufnahme von CVE-2026-58644 in den KEV-Katalog, um eine neue SharePoint-Lücke nach beobachteter Ausnutzung sowie um die Forderung nach sofortigen Updates. Zusammengenommen entsteht daraus ein geschlossenes Lagebild: Behörden und Fachmedien behandeln SharePoint aktuell nicht als theoretisches Risiko, sondern als akuten Handlungsfall. Für Leserinnen und Leser eines Sicherheitsportals ist das die wichtigste Botschaft der Woche, weil hier technische Kritikalität, behördliche Reaktion und operative Ausnutzung eng zusammenfallen.

Bemerkenswert ist dabei auch die Geschwindigkeit, mit der sich die Kommunikation verdichtet hat. Mehrere thematisch eng verwandte Meldungen in kurzer Folge sind regelmäßig ein Zeichen dafür, dass neue Erkenntnisse aus Analyse, Telemetrie und Verteidigungspraxis laufend in die öffentliche Bewertung einfließen. Im Fall von SharePoint deutet das auf eine dynamische Lage hin, in der sich die Prioritäten von Administratoren und Sicherheitsverantwortlichen sehr schnell verschieben mussten. Genau solche Wochen sind es, in denen die Trennung zwischen Routinebetrieb und Krisenmodus besonders dünn wird.

Der Artikel zu „LegacyHive“ setzt daneben einen zweiten Akzent: Er verweist auf die praktische Relevanz von Proof-of-Concept-Code selbst dann, wenn bereits ein Patchday hinter der Community liegt. Die Nachricht ist deshalb bedeutsam, weil sie das verbreitete Missverständnis korrigiert, ein eingespieltes Update beende automatisch die operative Diskussion. Tatsächlich verschieben PoCs und Umgehungsideen den Fokus oft auf die Qualität der Mitigations, auf Restflächen und auf die Frage, ob Verteidigungsmaßnahmen im realen Betrieb konsistent greifen. In der Zusammenschau mit den SharePoint-Meldungen ergibt sich daraus ein Wochenbild, das weniger von punktuellen Einzelfällen als von kontinuierlichem technischem Nachdruck geprägt ist.

Insgesamt war dies eine Woche, in der Infrastruktur- und Plattformrisiken besonders sichtbar wurden. SharePoint lieferte den klaren Nachrichtenanker, Fortinet und SonicWall unterstrichen die fortgesetzte Attraktivität von Sicherheits- und Zugangssystemen als Angriffsziel, Oracle E-Business Suite und Active Directory Federation Services erweiterten das Bild um geschäftskritische Anwendungen und Identitätsdienste, und die Ransomware-Aktivität mehrerer Gruppen hielt den Druck auf Organisationen zusätzlich hoch. Gerade diese Überlagerung macht die Woche sicherheitlich bemerkenswert: Nicht ein singulärer Vorfall prägt die Lage, sondern das Zusammenspiel aus ausnutzbaren Schwachstellen, rascher behördlicher Einordnung und einer aktiven Bedrohungslandschaft.