» Press » Eye Security ontdekt grootschalige uitbuiting van kritieke kwetsbaarheid in Microsoft SharePoint
Eye Security ontdekt grootschalige uitbuiting van kritieke kwetsbaarheid in Microsoft SharePoint
Published
Share
Redactionele noot: De kwetsbaarheden die zijn misbruikt tijdens de aanvallen op 17–19 juli 2025 lijken niet overeen te komen met CVE-2025-53770/53771. In plaats daarvan gaat het om de oorspronkelijke ToolShell-keten: CVE-2025-49706 (authenticatie-omzeiling) en CVE-2025-49704 (deserialisatie RCE). De kwetsbaarheden die wij op 18 juli 2025 identificeerden, bleken al op 8 juli 2025 openbaar gemaakt en gepatcht te zijn. Dit wijst erop dat het om een N-day exploitatie ging, en niet om een zero-day. Meer details vindt u op onze Tech Blog, die actief wordt bijgewerkt door ons onderzoeksteam. Technische details zijn te vinden op onze Tech Blog, die door ons Research Team actief wordt bijgewerkt.
Op vrijdag 25 juli om 11:00 delen onze experts in een webinar hoe zij deze kwetsbaarheid ontdekten, wat de impact is en hoe organisaties zich hiertegen kunnen beschermen. Schrijf je hier in.
Den Haag, 21 juli 2025 – Afgelopen vrijdag ontdekte Eye Security’s onderzoeksteam, Eye Research, als eerste een kritieke zero-day kwetsbaarheid in Microsoft SharePoint (CVE-2025-53770 en CVE-2025-53771), precies op het moment dat aanvallers deze op grote schaal begonnen te misbruiken. De bevindingen kregen wereldwijd erkenning, waarbij organisaties in diverse sectoren vertrouwden op de vroege waarschuwingen en ondersteuning van Eye Security om binnen enkele uren na de aanvallen te herstellen.
De kwetsbaarheid stelt aanvallers in staat om volledige controle over getroffen servers te krijgen. Dit betekent onbeperkte toegang tot vertrouwelijke bedrijfsdata, het stelen van cryptografisch materiaal, het installeren van achterdeurtjes en het ongezien bewegen door bedrijfsnetwerken. In veel gevallen kan dit leiden tot datadiefstal, ransomware-aanvallen en langdurige inbraken die zelfs na updates onopgemerkt blijven.
Massale uitbuiting in kaart gebracht door Eye Research
Op de avond van 18 juli ontdekte Eye Research verdachte activiteiten op de on-premises SharePoint-server van een klant. Een kwaadaardig bestand was geüpload dat cryptografische sleutels wist te exfiltreren. Met deze sleutels kunnen aanvallers authenticatie omzeilen en blijvende toegang behouden tot SharePoint-omgevingen, zelfs nadat reguliere patches zijn toegepast. Tijdens de analyse werd duidelijk dat Eye Security hier te maken had met een zero-day kwetsbaarheid die al actief in het wild werd misbruikt.
Na de ontdekking voerde Eye Research een wereldwijde scan uit van meer dan 8.000 publiek toegankelijke SharePoint-servers. Het team identificeerde tientallen gecompromitteerde systemen, waarmee werd bevestigd dat er sprake was van een gecoördineerde en grootschalige aanvalscampagne. Eye Security heeft vervolgens verantwoordelijke meldingen gedaan aan getroffen organisaties en nationale CERT’s, en werkt nauw samen met partners in de wereldwijde cybersecurity-community om de dreiging te beperken.
“Dit is geen theoretisch risico. Aanvallers misbruiken deze kwetsbaarheid actief om achterdeurtjes te installeren en gevoelige data van SharePoint-servers te stelen,” aldus Eye Security. “De impact reikt verder dan SharePoint alleen, omdat deze servers vaak zijn gekoppeld aan kernsystemen zoals e-mail en bestandsopslag.”
Microsoft bevestigt actieve uitbuiting
Microsoft heeft de ernst van het probleem erkend en de kwetsbaarheid aangemerkt als een kritieke zero-day met de identifiers CVE-2025-53770 en CVE-2025-53771. Het bedrijf heeft voorlopige richtlijnen gepubliceerd om organisaties te helpen hun omgeving te beveiligen.
Eye Security roept organisaties met on-premises SharePoint-servers op om direct actie te ondernemen. Het is cruciaal om systemen te onderzoeken op compromittering, getroffen servers te isoleren en mogelijk blootgestelde cryptografische sleutels te vernieuwen. Ook wordt geadviseerd om gespecialiseerde incident response-teams in te schakelen voor grondige analyses en herstel.
Snelle respons voor Eye Security-klanten
Voor klanten van Eye Security werd de aanval in een vroeg stadium ontdekt en gestopt. Ons 24/7 Security Operations Center (SOC) reageerde onmiddellijk door getroffen systemen te isoleren en het probleem aan te pakken. Verdere onderzoeken bevestigden dat er geen aanvullende inbraken plaatsvonden en dat klantomgevingen veilig bleven.
Eye Research is onderdeel van Eye Security, een Europese cybersecurity-specialist die organisaties beschermt tegen geavanceerde digitale dreigingen. Het team bestaat uit ervaren cybersecurityprofessionals met een achtergrond in zowel offensieve als defensieve operaties, waaronder voormalige specialisten uit nationale inlichtingendiensten. Hun missie: het onderzoeken van opkomende dreigingen, analyseren van malware en kwetsbaarheden, en het delen van bruikbare inzichten via publicaties. Deze activiteiten ondersteunen Eye Security’s 24/7 Managed Detection and Response (MDR) en incident response-diensten, waarmee organisaties weerbaar blijven in een steeds vijandiger digitaal landschap. Meer informatie: eye.security.
Noot voor journalisten Voor meer informatie, interviews of deskundig commentaar:
Eye Security analyseerde tussen januari 2023 en november 2025 630 cybersecurity-incidenten in heel Europa. De analyse biedt inzicht in detectie, dwell time, onderliggende oorzaken en operationele impact. Van ransomware tot business email compromise laat de incidentdata zien hoe dreigingsactoren vertrouwen, tijd en technologie misbruiken en hoe Managed Detection and Response (MDR) de uitkomst verandert.
De cijfers achter de inbreuk
Productie en industrie (18,6%), vastgoed en bouw (12,1%) en transport en logistiek (10,3%) waren samen goed voor meer dan 40% van alle incidenten.
Business Email Compromise (BEC) was verantwoordelijk voor 70% van alle incidenten.
Phishing, spearphishing en social engineering vormden gezamenlijk 33% van alle incidenten.
In MDR-omgevingen werden incidenten tot 90% sneller opgelost. Bij BEC daalde de gemiddelde dwell time van 24 dagen (ongeveer 3,5 week) naar minder dan 24 minuten.
In 70% van de ransomware-incidenten werd onderhandeld over het losgeld. Slechts 27% leidde daadwerkelijk tot betaling. De gemiddelde losgeldeis bedroeg 613.000 dollar.
Organisaties in heel Europa bewegen zich in hoog tempo van compliance-checklists naar echte operationele cyberweerbaarheid. In Nederland heeft de aankomende NIS2-richtlijn al geleid tot een golf aan zelfevaluaties, gap-analyses en beleidsdocumenten. Maar zodra die rapporten zijn afgerond en de knelpunten zijn benoemd, volgt de belangrijkste vraag: hoe zorg je er in de praktijk voor dat je organisatie structureel veilig blijft?
Recent onderzoek van Eye Security laat zien dat gedeelde AI-canvassen overtuigend legitieme zakelijke content kunnen nabootsen, zoals HR-enquêtes of interne inlogpagina’s. Wanneer deze canvassen worden verspreid via e-mail of berichtenplatforms, ogen ze betrouwbaar. Ze zijn immers gehost op domeinen van bekende AI-diensten. En precies dát vertrouwen vormt vandaag de dag de kern van veel succesvolle cyberaanvallen.
In deze blog leggen we uit waarom AI-canvassen geen op zichzelf staand nieuw aanvalstype introduceren, maar wél een nieuw distributiekanaal vormen voor bekende social-engineeringtechnieken, en waarom dat relevant is voor bestuurders en IT-leiders. Lees meer in de volledige technische analyse.
Manage Consent
To provide the best experiences, we use technologies like cookies to store and/or access device information. Consenting to these technologies will allow us to process data such as browsing behavior or unique IDs on this site. Not consenting or withdrawing consent, may adversely affect certain features and functions.
We use cookies and similar technologies to recognise your visits, measure how our site is used, improve performance, and personalise content. You can accept all cookies, reject non‑essential cookies, or manage your choices at any time. For more details, see our Privacy Policy.
Functional
Altijd actief
The technical storage or access is strictly necessary for the legitimate purpose of enabling the use of a specific service explicitly requested by the subscriber or user, or for the sole purpose of carrying out the transmission of a communication over an electronic communications network.
Preferences
The technical storage or access is necessary for the legitimate purpose of storing preferences that are not requested by the subscriber or user.
Statistics
The technical storage or access that is used exclusively for statistical purposes.The technical storage or access that is used exclusively for anonymous statistical purposes. Without a subpoena, voluntary compliance on the part of your Internet Service Provider, or additional records from a third party, information stored or retrieved for this purpose alone cannot usually be used to identify you.
Marketing
The technical storage or access is required to create user profiles to send advertising, or to track the user on a website or across several websites for similar marketing purposes.
