SharePoint RCE-Flaw wird jetzt ausgenutzt – Update erforderlich
Die US-Behörde CISA hat eine Warnung ausgegeben: Angreifer nutzen aktiv eine kritische Schwachstelle in Microsoft SharePoint aus, die bereits im Mai 2024 gepatcht wurde. Unternehmen, die das Update noch nicht eingespielt haben, sind akut gefährdet.
Die Lücke im Detail
Bei der Vulnerability handelt es sich um einen Remote Code Execution (RCE)-Fehler mit hohem Schweregrad. RCE-Lücken ermöglichen es Angreifern, aus der Ferne Code auf betroffenen Systemen auszuführen – eine der kritischsten Bedrohungskategorien. Im SharePoint-Kontext bedeutet das: Unbefugte könnten Kontrolle über SharePoint-Instanzen erlangen und von dort aus in Unternehmensnetzwerke eindringen.
Warum die Verzögerung beim Patchen?
Trotz verfügbaren Patches seit Mai verläuft das Einspielen von Updates in vielen Organisationen schleppend. Das ist kein neues Phänomen – Patch-Management ist in der Praxis ein Dauerproblem, besonders bei geschäftskritischen Systemen wie SharePoint, bei denen Administratoren Ausfallzeiten oder Kompatibilitätsprobleme fürchten.
Doch genau diese Verzögerung eröffnet Angreifern das Fenster. Die Kombination aus bekanntem Patch und aktiver Exploitation macht diese Lücke besonders gefährlich: Angreifer können öffentlich verfügbare Proof-of-Concept-Tools nutzen, und jeder ungepatched Server ist ein offenes Ziel.
Handlungsempfehlungen
Unternehmen sollten sofort handeln:
-
Inventar überprüfen: Welche SharePoint-Versionen sind im Einsatz? Sind alle kritischen Updates eingespielt?
-
Priorität setzen: Das Mai-Patch einspielen – die Risiken der Verzögerung überwiegen potenzielle Kompatibilitätsprobleme deutlich.
-
Monitoring erhöhen: Logs auf verdächtige SharePoint-Aktivitäten prüfen. Ungewöhnliche administrativen Zugriffe oder Datenbewegungen könnten auf Compromises hindeuten.
-
Zugriffe beschränken: SharePoint-Instanzen sollten nicht unnötig aus dem Internet erreichbar sein. VPN-Zugang oder IP-Whitelisting können Angriffsfläche reduzieren.
Das größere Problem
Diese Episode zeigt ein bekanntes Muster: Vulnerabilities werden gepatcht, Unternehmen brauchen aber Monate oder Jahre, um Updates auszurollen. In dieser Lücke agieren Angreifer. CISA hat das erkannt und warnt proaktiv – ein Signal, dass Incidents bereits stattfinden.
Microsoft wird wahrscheinlich bald mehr Details zur Exploitation veröffentlichen. Bis dahin gilt: Wer den Patch noch nicht installiert hat, sollte das zur Priorität machen.