KritischCVE-2025-49704

    Microsoft SharePoint Enterprise Server 2016: Code-Injection (CVE-2025-49704)

    Veröffentlicht In CISA KEV seit Quellen: NCSC NZ, pwn.watch, SingCERT, CVE.org, Msrc Update Guide

    Was ist betroffen, was ist zu tun

    Ungenaue Steuerung der Codegenerierung ("Codeinjektion") in Microsoft Office SharePoint ermöglicht es einem autorisierten Angreifer, über ein Netzwerk Code auszuführen.

    Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie Microsoft SharePoint Enterprise Server 2016 auf Version 16.0.5508.1000, Microsoft SharePoint Server 2019 auf Version 16.0.10417.20027. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

    Betroffen
    • Microsoft SharePoint Enterprise Server 2016 lt 16.0.0..16.0.5508.1000
    • Microsoft SharePoint Server 2019 lt 16.0.0..16.0.10417.20027
    Behoben in
    • Microsoft SharePoint Enterprise Server 2016 16.0.5508.1000
    • Microsoft SharePoint Server 2019 16.0.10417.20027

    Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

    Metriken

    8,8

    Priorität

    XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

    Quelle: NVD, CVSS v3

    8,8

    CVSS v3

    Schweregrad Hoch auf der Skala von 0 bis 10.

    Quelle: NCSC NZ, pwn.watch, SingCERT, CVE.org, Msrc Update Guide

    —

    EPSS-Score

    Für diese Schwachstelle liegt kein Wert vor.

    Alle Metriken anzeigen
    Schweregrad
    Kritisch
    Priorität (0–325)

    Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?

    Im Glossar lesen
    258.81 Methodik
    Exploit-Reife

    Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.

    Im Glossar lesen
    aktiv ausgenutztQuelle: VulnCheck KEV (öffnet in neuem Tab), NCSC NZ, CSA/SingCERT So stufen wir ein
    XIEM Effective CVSS

    XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command.

    Im Glossar lesen
    8,8 Methodik
    CVSS v3

    CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.

    Im Glossar lesen
    8,8
    EPSS-Perzentil

    Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking.

    Im Glossar lesen
    99,99
    Kritisch – CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
    KEV-Status

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    Aktiv ausgenutzt
    Veröffentlicht
    In CISA KEV seit

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    CWE

    CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse.

    Im Glossar lesen
    CWE-94

    Behebung und Mitigation

    Warum sofort handeln?

    Priorisierung

    Die Schwachstelle ist Kernbestandteil einer massenhaft ausgenutzten Angriffskette: Zusammen mit dem Authentifizierungs-Bypass CVE-2025-49706 entfällt die nominell erforderliche Anmeldung, und es entsteht eine unauthentifizierte, aus dem Netz erreichbare Remote-Code-Ausführung mit vollständigem Verlust von Vertraulichkeit, Integrität und Verfügbarkeit. Die Ausnutzungswahrscheinlichkeit gehört zur absoluten Spitzengruppe. CISA bestätigt den Einsatz in Ransomware-Kampagnen, betroffen sind breit gestreut Behörden, KRITIS-Betreiber und Unternehmen mit On-Premises-SharePoint. Internetexponierte SharePoint-2016/2019-Farmen sind als kritischer Notfall zu behandeln: patchen, Schlüssel rotieren und eine Kompromittierungsprüfung noch heute durchführen. Rein interne Farmen haben hohe Priorität, weil sie für Angreifer nach einem Erstzugriff ein attraktives Ziel für laterale Bewegung sind.

    1. Schritt 1 im Runbook

      Sofort-Response (0-24 h)

      • Sicherheitsupdates einspielen, bevorzugt die für CVE-2025-53770: Diese schließen den Patch-Bypass zu CVE-2025-49704 und schützen wirksamer. Zielversionen sind mindestens SharePoint Enterprise Server 2016 Build 16.0.5508.1000 und SharePoint Server 2019 Build 16.0.10417.20027. Die exakten KB-Nummern der CVE-2025-53770-Updates stehen im Microsoft-Advisory. Bei SharePoint Subscription Edition die Betroffenheit dort ebenfalls prüfen.
      • Internetexponierte SharePoint-Server sofort vom öffentlichen Zugriff trennen, falls das Update nicht binnen Stunden möglich ist. Veröffentlichungsregeln für 80/443 auf Reverse-Proxy oder Firewall deaktivieren oder den Zugriff auf VPN bzw. bekannte Quell-IP-Bereiche beschränken.
      • ASP.NET-Maschinenschlüssel (ValidationKey/DecryptionKey) rotieren — erst nach dem Patch: per Update-SPMachineKey bzw. dem Timer-Job „Machine Key Rotation Job“ in der Zentraladministration, anschließend iisreset auf allen Farmservern. In bekannten Angriffsketten werden die Schlüssel exfiltriert und für gefälschte __VIEWSTATE-Payloads weiterverwendet. Ein Patch ohne Schlüsselrotation lässt die Persistenz bestehen.
      • Kompromittierungsprüfung durchführen: In den Verzeichnissen ...\Web Server Extensions\15\TEMPLATE\LAYOUTS\ und ...\16\TEMPLATE\LAYOUTS\ nach neu angelegten .aspx-Dateien suchen, insbesondere nach spinstall0.aspx oder Varianten davon. Bei einem Fund gilt der Host als kompromittiert: Er wird isoliert, forensisch gesichert und nach Incident-Response-Prozess behandelt.
      • Zugangsdaten zurücksetzen: SharePoint-Farm-, Dienst- und Anwendungspool-Konten sowie alle auf dem Server hinterlegten Geheimnisse zurücksetzen, sobald Hinweise auf eine Ausnutzung vorliegen.

    2. Schritt 2 im Runbook

      Mitigation-Layer

      • Endpunkthärtung: Die AMSI-Integration für SharePoint aktivieren (Full Mode) und Microsoft Defender Antivirus oder ein gleichwertiges AMSI-fähiges Produkt auf allen SharePoint-Servern betreiben. AMSI blockiert bösartige Anfragen vor der Verarbeitung durch die Anwendung.
      • WAF-/IPS-Regel: POST-Anfragen auf /_layouts/15/ToolPane.aspx (und /_layouts/16/ToolPane.aspx) blockieren, wenn der Referer /_layouts/SignOut.aspx enthält oder der Query-String DisplayMode=Edit mit unauthentifizierter Sitzung einhergeht. Das ist das bekannte Muster der Kette mit CVE-2025-49706. Ergänzend Anfragen mit übergroßem __VIEWSTATE-Parameter von externen Quellen drosseln oder protokollieren.
      • Netzwerksegmentierung: SharePoint-Server in eine eigene Zone legen. Ausgehende Verbindungen ins Internet nur über einen Proxy mit Allowlist zulassen und die laterale Bewegung zu Domänencontrollern und SQL-Servern auf die notwendigen Ports begrenzen.
      • Prozesskontrolle: Per ASR-Regel, AppLocker oder WDAC verhindern, dass w3wp.exe die Prozesse cmd.exe, powershell.exe, csc.exe oder rundll32.exe startet. Auf SharePoint-Servern gibt es dafür keinen legitimen Grund.
      • Least Privilege: Anwendungspool-Identitäten ohne lokale Administratorrechte betreiben und Schreibrechte auf TEMPLATE\LAYOUTS auf Installationskonten beschränken.

    3. Schritt 3 im Runbook

      Detection-Regeln

      • IIS-Logs: Nach Ausnutzungsversuchen suchen, z. B. in SPL: index=iis cs_uri_stem="*/_layouts/1*/ToolPane.aspx" cs_method=POST cs_Referer="*SignOut.aspx*". Treffer von externen IPs sind als Ausnutzungsversuch zu werten.
      • Sysmon EID 11 / EDR-Dateiereignis: Erstellung von *.aspx unter *\TEMPLATE\LAYOUTS\* durch w3wp.exe, cmd.exe oder powershell.exe. Sigma-Form: TargetFilename|contains: '\TEMPLATE\LAYOUTS\' und TargetFilename|endswith: '.aspx'. Anschließend den GET-Abruf genau dieser Datei im IIS-Log korrelieren.
      • Prozessabstammung (Sysmon EID 1 / Event ID 4688): w3wp.exe → cmd.exe/powershell.exe mit -EncodedCommand. KQL: DeviceProcessEvents | where InitiatingProcessFileName =~ "w3wp.exe" and FileName in~ ("cmd.exe","powershell.exe").
      • Schlüsselabfluss: Hinweise darauf sind PowerShell- bzw. .NET-Reflection-Aufrufe auf System.Web.Configuration.MachineKeySection sowie Antworten der Webshell, die ValidationKey enthalten. Ebenso verdächtig ist ein späterer Anstieg gültiger, aber ungewöhnlich großer __VIEWSTATE-POSTs.
      • Netzwerk (Zeek/Suricata): Neue ausgehende Verbindungen von SharePoint-Servern zu unbekannten Zielen kurz nach verdächtigen ToolPane-Anfragen.

    Erkennungsregeln

    Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

    Einordnung nach NIS2 und CRA

    Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

    NIS2

    NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

    Im Glossar lesen
    Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).
    CRA

    Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

    Im Glossar lesen
    Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.
    ISO/IEC 27001

    ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

    Im Glossar lesen
    Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

    Beschreibung

    Ungenaue Steuerung der Codegenerierung ("Codeinjektion") in Microsoft Office SharePoint ermöglicht es einem autorisierten Angreifer, über ein Netzwerk Code auszuführen.

    Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

    Quelle: NCSC NZ (CC BY 4.0), pwn.watch, CSA/SingCERT, NVD (NIST), Microsoft Security Update Guide, CISA KEV Catalog, CVE.org (MITRE), cvelistv5

    Betroffene Produkte

    Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

    Betroffene Produkte
    Betroffene VersionenBehoben in
    MicrosoftMicrosoft SharePoint Enterprise Server 2016
    • 16.0.0 – < 16.0.5508.1000
    • 16.0.5508.1000
    MicrosoftMicrosoft SharePoint Server 2019
    • 16.0.0 – < 16.0.10417.20027
    • 16.0.10417.20027
    microsoftsharepoint_server
    • 2019
    • 2016
    • —
    • —

    Hersteller und Produkte

    Weakness-Klassen (CWE)

    • CWE-94Improper Control of Generation of Code ('Code Injection')

      Base

      The product constructs all or part of a code segment using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the syntax or behavior of the intended code segment.

      Eintrag bei MITRE CWE-94

    Öffentliche Exploit-Referenzen

    Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

    Öffentliche Exploit-Referenzen
    CISA KEV CatalogCISA Known Exploited Vulnerability (öffnet in neuem Tab)cisa.govaktiv ausgenutzt
    CSA/SingCERTCritical Vulnerabilities in Microsoft Sharepoint (öffnet in neuem Tab)CSA/SingCERTaktiv ausgenutzt
    NCSC NZCVE-2025-53770 and CVE-2025-53771 affecting Microsoft Sharepoint (öffnet in neuem Tab)NCSC NZaktiv ausgenutzt

    Quellen & Referenzen

    • Microsoft Security Update GuideMicrosoft SharePoint Remote Code Execution VulnerabilityHerstellerhinweis, Patch, Herstellerhinweis
    • microsoft.comDisrupting active exploitation of on-premises SharePoint vulnerabilitiesHerstellerhinweis, Herstellerhinweis, pwn-watch
    • cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2025-49704government-resource, US-Behörde
    • pwn.watchpwn.watch: ToolShell: mass exploitation of on-prem SharePoint (CVE-2025-53770, CVE-2025-49704, CVE-2025-49706)pwn-watch
    • microsoft.comCustomer guidance for SharePoint vulnerability CVE-2025-53770pwn-watch
    • research.eye.securitySharePoint Under Siege: ToolShell Exploitpwn-watch
    • cisa.govUPDATE: Microsoft Releases Guidance on Exploitation of SharePoint Vulnerabilitiespwn-watch
    • enisa.europa.euJoint Statement on SharePoint vulnerabilitiespwn-watch
    • NVD (NIST)NVD: CVE-2025-53770pwn-watch
    • NVD (NIST)NVD: CVE-2025-49704pwn-watch
    • NVD (NIST)NVD: CVE-2025-49706pwn-watch
    • cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch
    Badge einbetten

    Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

    Badge-Vorschau für CVE-2025-49704
    <a href="https://intel.neosec.eu/cve/CVE-2025-49704"><img src="https://intel.neosec.eu/badge/cve/CVE-2025-49704.svg" alt="CVE-2025-49704 – NEOSEC Intel" height="20"></a>