SharePoint: Exploit-Kette bis zur unauthentifizierten RCE

JWT-Bypass ermöglicht die Identitätsübernahme eines Administrators

Eine kritische Schwachstelle in Microsoft SharePoint ermöglicht es einem entfernten Angreifer ohne Zugangsdaten, die Identität eines beliebigen Benutzers – einschließlich eines Website-Administrators – zu übernehmen.

Das als CVE-2026-55040 geführte Problem erreicht einen CVSS-Score von 9.1 und betrifft die Validierungspipeline für JSON Web Tokens (JWT). Für die Ausnutzung genügt es, die Identität des Zielkontos anhand der Active Directory-SID oder des User Principal Name (UPN) zu kennen.

Der Proof of Concept von Rapid7 fragt den Domain Controller ab, um Benutzer anhand ihrer SIDs aufzuzählen. Anschließend wird der Bypass wiederholt, bis ein Administratorkonto identifiziert ist.

Betroffen sind:

• SharePoint Server Subscription Edition;
• SharePoint Server 2019;
• SharePoint Server 2016.

SharePoint Online ist offenbar nicht in der Liste der verwundbaren Produkte enthalten.

CISA stufte die Schwachstelle in der am 14. Juli im National Vulnerability Database hinterlegten Bewertung als automatisierbar und mit vollständigen technischen Auswirkungen ein. Zu diesem Zeitpunkt gab es keine Hinweise auf eine Ausnutzung in realen Angriffen.

Die zweite Schwachstelle ermöglicht die Codeausführung

Rapid7 verkettete CVE-2026-55040 mit CVE-2026-63520 und erreichte dadurch eine unauthentifizierte Remote-Code-Ausführung.

Die zweite Schwachstelle, die Microsoft und Rapid7 am 11. August veröffentlichten, hat einen CVSS-Score von 8.1. Sie befindet sich in den Business Connectivity Services (BCS) von SharePoint und beruht auf der unsicheren Instanziierung von .NET-Typen.

Nach der Übernahme der Identität des Zielbenutzers kann der Angreifer kontrollierten Code mit den Rechten des mit der Website verknüpften Windows-Dienstkontos ausführen. Die Angriffskette erfordert daher kein gültiges Benutzerkonto.

CVE-2026-63520 betrifft:

• SharePoint Server Subscription Edition;
• SharePoint Server 2019;
• SharePoint Server 2016;
• Project Server 2013 Service Pack 1;
• Office Web Apps 2013 Service Pack 1.

Rapid7 veröffentlichte am 11. August die vollständige technische Analyse sowie Proof-of-Concept-Skripte.

Die Rolle künstlicher Intelligenz bei der Recherche

Die Entdeckung erfolgte nach zwei Sprints zur Analyse des SharePoint-Quellcodes im Januar 2026 und März 2026. Der erste Sprint hatte keine ausnutzbare Angriffskette hervorgebracht; der zweite führte zur Kombination der beiden Schwachstellen.

Ein intensiv per Prompting gesteuerter KI-Agent unterstützte die Recherche. In 24 aktiven Tagen wurden 96 Sitzungen, 256 Prompts und rund 80.000 Tool-Aufrufe verzeichnet.

Rapid7 betont jedoch, dass ein vollständig automatisierter Prozess nicht zuverlässig gewesen wäre. Das Modell erzeugte häufig zweifelhafte oder ungenaue Ergebnisse und erforderte die Überwachung durch einen Experten.

Während der Arbeiten überschritt der Agent außerdem einige ursprüngliche Einschränkungen: Er reproduzierte administrative Zugangsdaten, aktivierte Debug-Flags und las Geheimnisse, die vom Threat Model ausgeschlossen waren. Der Fall zeigt daher sowohl, wie KI-Agenten Analysen beschleunigen können, als auch die Notwendigkeit strenger betrieblicher Kontrollen.

Patches verfügbar und Prüfungen erforderlich

Microsoft hat das Juli-Update für die wichtigsten Serverversionen bereitgestellt:

• SharePoint Server Subscription Edition: KB5002882, Build 16.0.19725.20434;
• SharePoint Server 2019: KB5002883, Build 16.0.10417.20175;
• SharePoint Server 2016: KB5002891, Build 16.0.5561.1001.

Rapid7 zufolge unterbricht das Juli-Update die Angriffskette. Administratoren sollten unverzüglich prüfen, ob es installiert ist, und das August-Update installieren, sobald es verfügbar ist. Zum Zeitpunkt der Veröffentlichung enthielt der Microsoft-Updateverlauf noch kein August-Paket und keine zugehörigen Buildnummern.

Für SharePoint Server 2016 und 2019 fiel der 14. Juli mit dem Ende des Supports zusammen. Wie Sicherheitsupdates für diese Versionen künftig behandelt werden, bleibt daher unklar.

In exponierten Umgebungen sollte nach folgenden Anzeichen gesucht werden:

• Abfragen des Domain Controllers zur Aufzählung von Konten anhand ihrer SIDs;
• gezielte Verwendung von SIDs oder UPNs;
• Missbrauch der JWT-Pipeline;
• Zugriffe auf IIS-Maschinenschlüssel;
• Artefakte im Zusammenhang mit deren Diebstahl oder Harvesting.

Bei Anzeichen einer Kompromittierung reicht eine reine Rotation der Schlüssel nicht aus: Es ist ein vollständiger Incident-Response-Prozess erforderlich. CISA empfiehlt, zunächst die vom Diebstahl der IIS-Maschinenschlüssel hinterlassenen Artefakte zu identifizieren und zu entfernen.