Mobile-Menu

Update: Patches und erste Untersuchungserbenisse 0-Day in SharePoint wird weltweit für Angriffe genutzt

Aktualisiert am 24.07.2025 Von Melanie Staudacher 4 min Lesedauer

Anbieter zum Thema

Google Cloud EMEA Ltd
FTAPI Software GmbH

Eine kritische Zero-Day-Schwachstelle in Microsoft SharePoint gefährdet Unternehmen weltweit. Zwei Behörden in den USA sind bereits angegriffen worden und auch in Deutschland sind zahlreiche Unternehmen gefährdet. Erste Untersuchungen führen nach China.

Die Schwachstelle CVE-2025-53770 gilt als hochgefährlich, da sie bereits weltweit von Angreifern ausgenutzt wird und SharePoint-Server in Behörden, Unternehmen und kritischen Infrastrukturen kompromittierbar macht.(Bild: Dall-E / KI-generiert)
Die Schwachstelle CVE-2025-53770 gilt als hochgefährlich, da sie bereits weltweit von Angreifern ausgenutzt wird und SharePoint-Server in Behörden, Unternehmen und kritischen Infrastrukturen kompromittierbar macht.
(Bild: Dall-E / KI-generiert)

Der SharePoint-Exploit „ToolShell“ hält Sicherheitsexperten weltweit in Atem. Denn in dem beliebten Microsoft-Programm SharePoint findet sich die kritische Schwachstelle CVE-2025­53770, die aktiv ausgenutzt wird. Online und über Social Media hat das Sicherheitsteam von Microsoft bereits am Samstag, den 19. Juli davor gewarnt, dass die SharePoint-Schwachstelle für Angriffe genutzt wird. Einen Tag später schaltete sich das FBI ein. Mittlerweile gibt es für alle betroffenen Versionen Patches.

Betroffen von den Sicherheitslücken sind nur Unternehmen und Organisationen, die ihren SharePoint-Server selbst betreiben. Die Cloud-Versionen der Lösung in Microsoft 365 sind nicht von der Sicherheitslücke betroffen.

Was ist die ToolShell-Schwachstelle?

CVE-2025-53770 ist mit einem CVSS-Score von 9.8 kritisch. Aufgrund eines Programmierungs­fehlers werden auch nicht vertrauenswürdige Daten im lokalen SharePoint-Server deseria­lisiert. So können nicht autorisierte Angreifer Code über ein Netzwerk ausführen, Daten und Passwörter stehlen. Eine weitere Schwachstelle in diesem Zusammenhang ist CVE-2025­53771 (CVSS-Score 6.3). Sie ermöglicht es Angreifern, die in diesem Falle jedoch autorisiert sein müssen, das sogenannte „Spoofing“. Dabei geben sich die Akteure als vertrauenswürdige Quelle aus, um Informationen zu stehlen oder sich unberechtigten Zugriff zu verschaffen.

Cyberangriffe auf tausende SharePoint-Server

Wie die Deutsche Presseagentur berichtete, seien Cyberkriminelle über CVE-2025-53770 bereits tausende Server in Systeme Dutzender Organisationen eingedrungen. Entdeckt wurde die Sicherheitslücke von SOC-Analystin Ilse Versluis, die beim niederländischen Unternehmen Eye Security arbeitet, am 18. Juli 2025.

In den USA seien der Washington Post zufolge bereits zwei Bundesbehörden erfolgreich ange­griffen worden. Das Federal Bureau of Investigation (FBI), die Strafverfolgungs- und Inlands­geheim­dienstbehörde der USA, teilte am Sonntag mit, aufgrund der Cyberangriffe eng mit verschiedenen Behörden und Unternehmen zusammenzuarbeiten, um die Akteure festzunehmen.

Deutschland besonders gefährdet

Auch in Deutschland sind Unternehmen von ToolShell betroffen. Der Shadowserver Foundation zufolge hätten Cyberkriminelle vom vergangenen Wochenende bis einschließlich Montag, den 21. Juli 2025 in mindestens 104 Fällen die Möglichkeit gehabt, erfolgreich in einen Sharepoint-Server einzudringen. So viele Server hätten der technischen Analyse der Foundation zufolge ohne Sicherheitsupdates offen im Netz gestanden. An der Spitze der Analyse von Shadowserver stünden die USA mit 546 verwundbaren Servern. Hinter Deutschland mit 104 anfälligen Ser­vern, folge Kanada mit 87 verwundbaren Systemen auf Platz drei. In Großbritannien seien es nur 58 verwundbare SharePoint-Server und in Frankreich nur 24. In Japan habe man sogar nur drei Organisationen ausmachen können, deren Systeme ungeschützt im Netz gestanden haben.

Forensische Untersuchung führt nach China

Während die Zahl der Unternehmen, die zum Opfer von ToolShell wurden, weiter steigt, schei­nen erste Untersuchungen des Vorfalls nach China zu führen. „Wir gehen davon aus, dass es sich bei mindestens einem der für diese frühe Ausnutzung verantwortlichen Akteure um einen Bedrohungsakteur mit chinesischem Hintergrund handelt“, sagte Charles Carmakal, CTO von Mandiant Consulting bei Google Cloud. „Es ist wichtig zu verstehen, dass mehrere Akteure diese Schwachstelle nun aktiv ausnutzen. Wir gehen fest davon aus, dass sich dieser Trend fortsetzen wird, da verschiedene andere Bedrohungsakteure aus unterschiedlichen Motiven diese Schwachstelle ebenfalls ausnutzen werden.“

Patches für SharePoint-Schwachstellen

Noch am Sonntag, dem 20. Juli, hat Microsoft Notfallpatches für SharePoint Server Subscription Edition und SharePoint Server 2019 veröffentlicht. Am Dienstag folgte der Patch für SharePoint Server 2016. Diese Patches schließen nicht nur die Schwachstellen CVE-2025-53770 und CVE­2025-53771, sondern auch die Schwachstellen CVE-2025-49704 und CVE-2025-49706. Einen Exploit, der diese Schwachstellen nutzt, wurde bereits im Mai 2025 auf der Pwn2Own in Berlin vorgestellt, das Pentesting-Unternehmen Code White hat am 17. Mai darüber informiert, dass diese Exploit-Kette nachvollziehbar sei.

Für CVE-2025-49704 gab es bereits am Patch Tuesday im Juli ein Update, das neue ist Microsoft zufolge jedoch effektiver. Gleiches gilt für das Update, welches CVE-2025-49706 behebt.

Erste Handlungsmaßnahmen von Microsoft waren zum einen, sicherzustellen, dass das Anti­malware Scan Interface (AMSI) aktiviert und korrekt konfiguriert ist sowie Endpoint- sowie Antiviren-Lösungen einzusetzen. Zum anderen sollten Unternehmen, die mit SharePoint arbeiten, die ASP.NET-Maschinenschlüssel des Servers rotieren. ASP.NET ist das Webframework von Microsoft, das die Grundlage für die Authentifizierung bei SharePoint bildet. Durch das Rotieren der Machine Keys werden bestehende kryptografische Schlüssel durch neue ersetzt. Falls ein Angreifer also tatsächlich in Besitz eines Keys gelangt sein sollte, wird dieser durch das Rotieren ungültig, da sich jeder Nutzer erneut mit einem anderen Schlüssel authentifizieren muss. Diese Empfehlung gilt also auch für Unternehmen, die schon gepatcht haben.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Direkt nach der Entdeckung von CVE-2025-53770 und CVE-2025-53771 hatte Eye Security weltweit über 8.000 SharePoint-Server gescannt und entdeckt, dass Dutzende bereits kom­promittiert waren. In einem Blogbeitrag erläutern die Experten ihre Ergebnisse und geben Empfehlungen zum Patchen sowie eine Analyse der Kompromittierung, die Unternehmen dabei helfen soll, festzustellen, ob sie von der SharePoint-Sicherheitslücke betroffen sind.

(ID:50489171)

Weiterführende Inhalte