Im Serverraum steht ein SharePoint und riecht nach Wochenende. Nicht nach Urlaub, eher nach diesem warmen Staub, der aus einem Patchfenster steigt, wenn jemand um 16:47 Uhr sagt: „Nur noch schnell.“
Der Anlass ist echt, auch wenn die Blechpresse wie üblich mit ölverschmierten Fingern auf die Tastatur zeigt: CISA hat CVE-2026-45659 am 1. Juli 2026 in den Known Exploited Vulnerabilities Catalog aufgenommen. In der Kurzfassung geht es um Microsoft SharePoint Server, um Deserialisierung nicht vertrauenswürdiger Daten und darum, dass ein autorisierter Angreifer Code über das Netzwerk ausführen kann. Das ist kein Feuerwerk. Das ist ein Aktenordner, der plötzlich einen Schraubenschlüssel trägt.
Der Objektkasten klappert
Deserialisierung klingt harmlos, fast verwaltungstechnisch. Man nimmt etwas Verpacktes, baut es wieder zusammen, nickt freundlich und reicht Kaffee. Das Problem beginnt, wenn der Karton nicht aus der eigenen Werkstatt kommt und trotzdem in die Maschine geschoben wird. Dann kann aus „hier ist ein Objekt“ schnell „hier ist ein überraschender Programmablauf“ werden. Die Art Überraschung, bei der Administratoren nicht lachen, sondern das Wartungsfenster anstarren.
CISA schreibt ausdrücklich, dass die Schwachstelle auf Grundlage aktiver Ausnutzung im KEV-Katalog gelandet ist. Für US-Bundesbehörden hängt daran die Pflicht, nach BOD 26-04 risikobasiert zu priorisieren; im Datenfeed steht für diesen Eintrag als Fälligkeitsdatum der 4. Juli 2026. Man kann sich das vorstellen wie eine Sirene, die nicht schreit, sondern sehr amtlich eine Frist auf den Tisch legt.
On-Prem heißt: der Schrank steht wirklich da
Der satirische Teil ist nicht, dass SharePoint existiert. Der satirische Teil ist, wie viele Organisationen seit Jahren so tun, als sei ein intern gewachsener Kollaborationsschrank automatisch gemütlicher als die böse Außenwelt. Da liegen Formulare, Workflows, Listen, Rechte, alte Projekte, neue Ausreden. Und irgendwo dazwischen eine Komponente, die nicht vertrauenswürdige Daten wieder zusammensetzt, als kämen sie aus der Hauspost.
Microsofts Update-Guide-Seite ist als Herstellerquelle verlinkt; CISA verweist im KEV-Datensatz ebenfalls darauf. Wer betroffen ist, muss nicht die Blechpresse fragen, sondern die eigene Produktversion, Exposition und Herstelleranweisung prüfen. Die Zeitung hier kann nur mit dem Schraubendreher gegen das Gehäuse tippen und sagen: Wenn CISA „known exploited“ auf den Zettel schreibt, ist das kein Deko-Stempel.
Patchen ist langweilig. Genau deshalb funktioniert es.
Natürlich wäre eine größere Geschichte schöner: Kapuzen, Matrixregen, ein dramatisches Dashboard mit rotem Puls. In Wahrheit sieht der Maschinenraum meistens kleiner aus. Inventar prüfen. Exponierte Systeme finden. Herstellerupdates und Mitigations lesen. Logs und forensische Triage nicht wie alte Kaffeefilter behandeln. Und dann dieses eine Gerät nicht vergessen, das „nur intern“ war, bis jemand eine Portfreigabe als Teamfähigkeit missverstanden hat.
Die Blechpresse notiert deshalb: SharePoint ist heute kein Charakter aus der alten Bürokomödie, sondern ein Schrank mit Netzwerkanschluss und schlechter Laune. Wer ihn betreibt, sollte die Schrauben zählen, bevor das Wochenende die Werkstatt abschließt.
Hinweis: Satirischer Kommentar auf echter Quellenlage; keine Ausnutzungsanleitung, keine Betroffenheitsprüfung für einzelne Systeme.