SharePoint: Proof-of-Concept für kritische Schwachstelle bereits bei Angriffen eingesetzt

CVE-2026-55040 ermöglicht die Übernahme von Benutzer- und Administratoridentitäten

Am 12. August 2026 um 08:25 Uhr veröffentlichte Rapid7 eine technische Analyse mit einem Proof-of-Concept-Exploit für CVE-2026-55040. Die Schwachstelle betrifft den Microsoft SharePoint Enterprise Server 2016 und den Microsoft SharePoint Server 2019.

Die als kritisch eingestufte Schwachstelle ermöglicht einen Authentifizierungs-Bypass in der Pipeline zur Validierung von JWT-Tokens. Ein entfernter Angreifer ohne besondere Berechtigungen kann Benutzer oder Administratoren einer SharePoint-Website imitieren und Aktionen mit den Berechtigungen der gefälschten Identität ausführen.

Ein Angriff kann daher zum Auslesen von Dateien, zur Manipulation von Daten sowie zum Verlust von Vertraulichkeit und Integrität führen. Die Verfügbarkeit des Systems wird dadurch jedoch nicht beeinträchtigt.

Rapid7-Code gegen Honeypots beobachtet

Defused hat beobachtet, dass der für den operativen Einsatz angepasste Rapid7-Code gegen eigene SharePoint-Honeypots eingesetzt wurde. Dies zeigt, dass der PoC nicht auf die Forschung beschränkt geblieben ist. Wie umfangreich die laufenden Kampagnen sind, ist jedoch noch unklar.

Microsoft hat CVE-2026-55040 mit den Patch-Tuesday-Updates vom Juli 2026 behoben und empfiehlt, die Korrekturen auf betroffenen Systemen zu installieren. Vor der Beobachtung durch Defused hatte das Unternehmen die Schwachstelle als interessantes Angriffsziel eingestuft, jedoch nicht als erfolgreich „in the wild“ ausgenutzt klassifiziert.

Shadowserver identifiziert mehr als 8.500 online erreichbare Microsoft-SharePoint-Server. Wie viele davon bereits aktualisiert wurden oder Honeypots entsprechen, ist nicht bekannt.

Empfohlene Maßnahmen zur Verringerung der Angriffsfläche

Administratoren sollten die Microsoft-Updates vom Juli 2026 installieren und überprüfen, dass SharePoint-Instanzen, die nicht von außen erreichbar sein müssen, nicht direkt im Internet veröffentlicht sind.

CISA empfiehlt außerdem:

• den externen Zugriff auf die SharePoint Central Administration zu blockieren;
• die Microsoft-Richtlinien zum Security Hardening zu befolgen;
• die Kommunikation zwischen SharePoint-Farmen und Datenbanken auf die erforderlichen Systeme zu beschränken;
• exponierte Server hinter einem Layer-7-Reverse-Proxy oder einer gleichwertigen Kontrolle auf Anwendungsebene zu platzieren.

Sicherheitsteams sollten nach ungewöhnlichen Zugriffen, Aktivitäten mit administrativen Berechtigungen sowie unerwarteten Änderungen an SharePoint-Dateien oder -Daten suchen. Konkrete Indicators of Compromise wurden nicht genannt.

Ein weiteres Problem in einer Reihe von SharePoint-Angriffen

Die Angriffsfläche bleibt stark unter Druck. Seit November 2021 hat CISA 14 aktiv ausgenutzte Microsoft-SharePoint-Schwachstellen gemeldet; acht davon wurden auch bei Ransomware-Angriffen eingesetzt.

Die Quelle weist außerdem auf Ransomware-Kampagnen hin, die CVE-2026-45659 ausnutzen – eine separate SharePoint-Schwachstelle mit hohem Schweregrad, die seit Anfang Juli 2026 ausgenutzt wird. Sie darf daher nicht mit CVE-2026-55040 verwechselt werden.