CVE-2025-53770

SharePoint-Angriffe: Über 100 Unternehmen nach wenigen Tagen betroffen

Die kritische Zero-Day-Schwachstelle in SharePoint wird aktiv ausgenutzt. Bereits über 100 Unternehmen sind kompromittiert – und das ist womöglich erst der Anfang.

9 Passwort-Manager im Test — Über die aktuelle Lücke können Nutzerzugänge gestohlen werden.

Kaum 48 Stunden nach der ersten Warnung meldeten Forscher von Eye Security und der Shadowserver Foundation (via Reuters) rund 100 betroffene Organisationen in den USA, Deutschland und weiteren Ländern. Die Angriffe begannen nachweislich am 18. Juli und richteten sich ausschließlich gegen selbst be...

Hinter dem Massenangriff steckt eine Kombination aus zwei Zero-Days (CVE-2025-53770 & -53771), von Sicherheitsforschern "ToolShell" getauft. Ein gefälschter Referer-Header umgeht die Authentifizierung; anschließend wird ein fehlerhafter Deserialisierungsprozess missbraucht, um Schadcode auszuführen und Web-Shells zu platzieren. Gelingt das, entwenden Angreifer die ASP.NET-Machine-Keys des Servers und können so selbst nach einem Patch persistieren.

Internet-Scans zeigen über 8 000 potenziell verwundbare SharePoint-Instanzen. Palo Alto Networks warnt, dass ein Einbruch selten isoliert bleibt: SharePoint ist eng mit Outlook, Teams oder OneDrive verzahnt, sodass seitliche Bewegungen im Netzwerk und Datendiebstahl erleichtert werden.

Microsoft veröffentlichte am 20. Juli außerplanmäßige Patches für die Subscription Edition und SharePoint 2019; ein Update für die 2016-Version folgt. CISA stuft CVE-2025-53770 als „Known Exploited Vulnerability“ ein und empfiehlt, AMSI in SharePoint zu aktivieren, alle Machine-Keys zu rotieren und kompromittierte Server isoliert zu analysieren. Auch das FBI und das britische NCSC beobachten die Kampagne.