Sicherheitsforscher beobachten derzeit eine verstärkte Ausnutzung einer gefährlichen Schwachstellenkette in Microsoft SharePoint. Angreifer nutzen dabei zwei kritische Sicherheitslücken, um Authentifizierungsmechanismen zu umgehen und aus der Ferne Schadcode auf betroffenen Servern auszuführen.
Berichten zufolge wurden bereits zahlreiche Versuche in sogenannten Honeypots registriert, während erste Behörden bereits von erfolgreichen Kompromittierungen berichten.
Kombination aus Authentifizierungs-Bypass und Remote Code Execution
Im Zentrum der Bedrohung steht die Kombination der Schwachstellen CVE-2026-55040 und CVE-2026-63520. Die erste Lücke, CVE-2026-55040, weist eine kritische Bewertung von 9.1 auf der CVSS-Skala auf. Es handelt sich um einen Bypass der JWT-Authentifizierung (JSON Web Token), der die SharePoint Server Subscription Edition sowie die Versionen 2019 und 2016 betrifft.
Experten von Rapid7 entdeckten diesen Fehler unter Einsatz von KI-Unterstützung. Für eine erfolgreiche Ausnutzung benötigen Angreifer die SID (Security Identifier) oder den UPN (User Principal Name) des Ziels.
Die zweite Komponente der Kette, CVE-2026-63520, ist eine Schwachstelle in den Business Connectivity Services (BCS), die eine Remote Code Execution (RCE) mit einem CVSS-Wert von 8.1 ermöglicht. In Kombination erlauben diese Lücken eine vollständige Übernahme des betroffenen Systems. Das Sicherheitsunternehmen Defused beobachtete in Honeypot-Proben, dass diese Kette aktiv genutzt wird, um unbeabsichtigte Befehlsausführungen zu provozieren.
Schnelle Verfügbarkeit von Exploits verschärft die Lage
Die zeitliche Abfolge der Ereignisse verdeutlicht den hohen Druck auf Administratoren. Microsoft hatte bereits im Juli 2026 einen Patch für CVE-2026-55040 zur Verfügung gestellt. Es wird jedoch darauf hingewiesen, dass die Versionen SharePoint 2016 und 2019 bereits außerhalb des offiziellen Supports liegen.
Am 11. August 2026 veröffentlichte Rapid7 einen Proof-of-Concept (PoC) für die Umgehung der Authentifizierung, woraufhin bereits innerhalb weniger Stunden erste Ausnutzungsversuche beobachtet wurden.
Angesichts der rasanten Ausnutzung von Sicherheitslücken wird ein proaktiver Schutz für Unternehmen immer wichtiger. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt auf, wie Sie Ihre IT-Sicherheit ohne hohe Investitionen stärken. Gratis-E-Book: Cyberbedrohungen abwenden und das Unternehmen schützen
Am 24. August 2026 folgte eine Veröffentlichung von VulnCheck, die einen PoC für die gesamte Schwachstellenkette bereitstellte. Die US-Cybersicherheitsbehörde CISA reagierte auf die Bedrohungslage und nahm die Schwachstellen am 18. August 2026 in ihren Katalog bekannter ausgenutzter Sicherheitslücken (KEV) auf.
Tausende Systeme weltweit gefährdet
Analysen der Bedrohungslage zeigen ein erhebliches Ausmaß an potenziellen Angriffszielen. Shadowserver identifizierte über 8.700 SharePoint-Server, die direkt über das Internet erreichbar und somit potenziell gefährdet sind.
Der Analysedienst Censys beobachtet insgesamt rund 329.000 SharePoint-Instanzen weltweit. Davon seien etwa 21.000 On-Premises-Installationen, bei denen Versionsinformationen offenliegen und die somit gezielt auf ihre Verwundbarkeit hin untersucht werden können.
Die zunehmende Zahl an Cyberangriffen verdeutlicht, wie wichtig eine umfassende Awareness-Strategie für die gesamte Belegschaft ist. Erfahren Sie in diesem kostenlosen Paket, wie Sie sich mit gezielten Maßnahmen effektiv gegen Cyberkriminalität absichern können. Kostenloses Anti-Phishing-Paket für Unternehmen jetzt anfordern
Die Folgen der Ausnutzung zeigen sich bereits in der Praxis. Die Schweizer Bundesverwaltung meldete infolge einer ungepatchten SharePoint-Schwachstelle über 200 kompromittierte Konten. Die CISA forderte US-Bundesbehörden bereits Mitte August auf, die Sicherheitslücken bis zum 21. August 2026 zu beheben, und berichtet nun von gemeldeten Ausnutzungsversuchen der gesamten Kette.
IT-Verantwortlichen wird dringend geraten, die verfügbaren Sicherheitsupdates einzuspielen. Da für ältere Versionen wie SharePoint 2016 und 2019 kein regulärer Support mehr besteht, rücken alternative Schutzmaßnahmen oder eine Migration auf unterstützte Versionen in den Fokus der Sicherheitsbetrachtungen.
