Im Serverraum steht ein Schrank offen. Nicht angelehnt, nicht poetisch offen, sondern so offen, dass der Schlüsselbund schon klimpert und hinten im Regal jemand sehr leise „Persistenz“ flüstert. SharePoint Server, diese alte Dokumentenschublade mit Weboberfläche und Firmenstaub im Gewinde, hat wieder Besuch bekommen. Diesmal nicht als abstrakte CVE-Lotterie, sondern als Warnung der US-Behörde CISA: Mehrere Schwachstellen werden aktiv ausgenutzt, betroffen sind unterstützte On-Premises-Versionen von SharePoint Server — Subscription Edition, 2019 und 2016.
Das ist die Sorte Meldung, bei der im Blechpresse-Keller sofort jemand den Patchwagen sucht und dabei über drei alte Aktenordner fällt. Denn SharePoint ist selten nur Software. SharePoint ist meistens ein Möbelstück. Ein großer digitaler Aktenschrank, den irgendwann jemand mit Berechtigungen, Workflows, Formularen, Web.config und einer Abteilung „wir machen das seit 2014 so“ vollgestellt hat.
Der Schlüsselbund liegt nicht nur im Schloss
Laut CISA-Alert vom 14. Juli 2026 geht es bei den aktiv ausgenutzten Lücken um CVE-2026-32201, CVE-2026-45659 und CVE-2026-56164. CISA beschreibt unautorisierten Zugriff auf On-Premises-SharePoint-Instanzen, Remote Code Execution und nachgelagerte Aktivitäten. Also nicht nur: Tür auf, einmal hineingucken, wieder gehen. Eher: Tür auf, Maschinenraum ansehen, IIS-Maschinenschlüssel stehlen, Deserialisierungstricks anfassen, Malware abstellen, und anschließend so tun, als habe man schon immer in diesem Flur gewohnt.
Zusätzlich nennt CISA zwei frisch veröffentlichte CVEs, CVE-2026-55040 und CVE-2026-58644. Für die schreibt die Behörde nicht, dass sie schon ausgenutzt werden. Aber Microsoft sieht ein Risiko, wenn sie ungepatcht herumliegen. In Blech übersetzt: Die zwei Schrauben sind vielleicht noch nicht aus dem Regal gefallen, aber sie liegen schon so nah an der Kante, dass der Werkstattmeister den Blick hebt.
Der unangenehme Teil ist nicht der Name SharePoint. Der unangenehme Teil ist die Kombination aus alter On-Prem-Welt und sehr konkreter Nacharbeit nach dem Einbruch. Wer glaubt, ein Patch allein sei der Besen, der alles wegkehrt, hat den falschen Schrank gekauft. CISA schreibt ausdrücklich: vor dem Rotieren der IIS machine keys zuerst nach Artefakten suchen und einen möglichen Kompromiss bereinigen. Sonst dreht man nur den neuen Schlüssel in ein Schloss, neben dem der Dieb schon den Abdruck aus Wachs hält. Ja, Wachs. Die Blechpresse bleibt analog, wenn die Metapher besser quietscht.
AMSI ist kein Glücksbringer, aber immerhin ein Türspion
CISA empfiehlt, die Antimalware Scan Interface Integration für jede SharePoint-Webanwendung zu prüfen und, wo möglich, den Request Body Scan Mode auf „Full Mode“ zu setzen. Microsofts AMSI-Konfigurationshinweise für SharePoint Server sind dabei kein dekorativer Beipackzettel. Sie sind eher der kleine Türspion an der Schrankfront, durch den man wenigstens sieht, ob gerade jemand mit Werkzeug und sehr schlechter Laune vor dem Aktenfach steht.
Die Erkennungsliste in der Warnung liest sich trocken, aber sie hat Zähne: ToolPaneAuthBypass, RCE-Abdeckung, verdächtige Request Bodies, Microsoft-Defender-Hinweise auf IIS-geschützte Geheimnisse. Das sind keine Marketinglampen. Das sind rote Birnchen auf einem Schaltschrank, bei denen man nicht fragt, ob sie farblich zur Wand passen.
Und dann kommt der klassische Satz, der in vielen Unternehmen gleichzeitig richtig und unbeliebt ist: SharePoint Server sollten nicht direkt im Internet stehen, außer es muss wirklich sein. Falls doch, dann hinter einer Layer-7-Reverse-Proxy- oder vergleichbaren Anwendungsschutzkante, mit Authentifizierung, Inspektion und Filterung. Schön kurz gesagt. In der Realität steht daneben ein alter Ausnahmezettel, auf dem „nur vorübergehend“ steht, geschrieben in Tinte von vor fünf Jahren.
Patchen, jagen, härten. In dieser Reihenfolge, bitte nicht rückwärts
Die Blechpresse macht daraus keine Gruseloper. Aber sie macht auch keine Entwarnungsserviette. Wer SharePoint On-Prem betreibt, sollte die aktuellen Microsoft-Updates installieren, die erfolgreiche Installation wirklich prüfen, Logdaten und ungewöhnliche Worker-Prozesse ansehen, nach Webshells und Maschinenschlüssel-Zugriffen suchen, Central Administration nicht von außen winken lassen und Farm- sowie Datenbankkommunikation auf das Nötige einengen. CISA verweist dazu auch auf Microsofts SharePoint-Server-Härtungshinweise.
Das klingt nach viel. Ist es auch. Aber SharePoint ist eben kein hübscher kleiner SaaS-Knopf, den man einmal poliert und dann in die Cloud-Vitrine legt. On-Prem heißt: der Schrank steht im eigenen Keller. Mit eigenen Scharnieren. Eigenen Schlüsseln. Eigenem Staub. Wenn dort jemand die Tür aufhebelt, reicht es nicht, später ein neues Schildchen an den Griff zu hängen.
Die Known-Exploited-Vulnerabilities-Liste ist in diesem Fall auch kein Museumskatalog. CISA nennt Aufnahmezeitpunkte für die drei aktiv ausgenutzten Schwachstellen: CVE-2026-32201 am 14. April 2026, CVE-2026-45659 am 1. Juli 2026 und CVE-2026-56164 am 14. Juli 2026. Das ist eine Zeitleiste, kein Schmuckband. Sie sagt: Diese Schrauben sind nicht theoretisch rostig. An ihnen wurde gedreht.
Am Ende bleibt ein sehr alter Satz, den niemand gern hört, weil er nach Arbeit riecht: Erst nach Spuren suchen, dann reparieren, dann Schlüssel drehen, dann Härtung ernst nehmen. Der SharePoint-Schrank steht offen. Man kann jetzt diskutieren, ob er ein Möbel, ein Portal oder ein historisch gewachsener Verwaltungsorganismus ist. Man kann aber auch einfach die Lampe anmachen und nachsehen, wer noch drinsteht.