WASHINGTON / LONDON (IT BOLTWISE) – Die US-Behörde CISA hebt kritische SharePoint-Schwachstellen mit CVSS 9,8 hervor, die bereits aktiv ausgenutzt werden. Während Bundesbehörden bis zum 19. Juli patchen mussten, rüsten GoDaddy und AWS ihre Anleitungen zur Microsoft-365-Identitäts- und Passwortverwaltung nach. Für Unternehmen bedeutet das: weniger Spielraum bei der User-Verwaltung, mehr Fokus auf zentrale Identitäten, sichere Authentifizierungsflüsse und saubere Migrationspfade in Richtung passwortloser Methoden. Zusätzlich verschärfen das Patch-Tempo von Microsoft und das Ende mehrerer Legacy-Supportzyklen den Handlungsdruck in der Praxis.
CISA warnt vor SharePoint-Lücken (CVSS 9,8): GoDaddy & AWS passen M365-Passwortwege an (Foto: IT BOLTWISE)
🧠 KI & Robotik auf Google News abonnieren
Die Meldung trifft IT-Teams an einem empfindlichen Punkt: Während die Abhängigkeit von Microsoft-Ökosystemen weiter steigt, wächst auch die Angriffsfläche rund um Authentifizierung und Berechtigungsflüsse. CISA hat im Juli vier kritische Sicherheitslücken in Microsoft SharePoint identifiziert, darunter CVE-2026-58644 mit einem CVSS-Schweregrad von 9,8, die von Bundesbehörden bis zum 19. Juli gepatcht werden mussten. Besonders brisant ist, dass Sicherheitsforscher Kombinationen aus Authentifizierungsumgehung und Codeausführung beobachten, mit dem Ziel Webshells auf betroffenen Systemen zu installieren. Das verschiebt die Prioritäten weg von reinen Passwort-Richtlinien hin zu Identity-Sicherheit und Patch-Disziplin.
GoDaddy adressiert diese Verschiebung in erster Linie über die konkrete Praxis der Passwortverwaltung für Microsoft 365: Am 19. Juli veröffentlichte der Anbieter eine überarbeitete Anleitung für Kunden, die Microsoft-365-Identitäten über das firmeneigene E-Mail- und Office-Dashboard steuern. Der neue Workflow erlaubt es Nutzern, Passwörter direkt im zentralen Dashboard zurückzusetzen: Nach der Anmeldung, Auswahl einer Wiederherstellungs-E-Mail und Bestätigung werden die neuen Zugangsdaten gesetzt. Laut Anleitung kann die Synchronisation der Änderungen bis zu 30 Minuten dauern. Solche Verzögerungen sind nicht nur operativ relevant, sondern auch sicherheitstechnisch, weil sie kurzfristig Inkonsistenzen zwischen Systemen erzeugen können.
Unter der Oberfläche steckt zudem ein zweites Thema, das in vielen Unternehmen unterschätzt wird: Benutzerlizenzierung und Mandantenlogik. GoDaddy stellt klar, dass für von GoDaddy verwaltete Mandanten in der Regel jeder Nutzer eine eigene Lizenz benötigt. Wer Nutzer ohne Lizenzen ergänzen will, muss den Mandanten zunächst von GoDaddy entflechten; dafür ist der direkte Wechsel ins Microsoft-365-Admin-Center erforderlich. Gleichzeitig warnt der Anbieter vor möglichen vorübergehenden Unterbrechungen des E-Mail-Dienstes während dieses Übergangs. Genau hier werden Security und Betriebsstabilität eng verkoppelt: Ein verschobener oder abgebrochener Admin-Workflow kann dazu führen, dass Berechtigungen nicht rechtzeitig greifen und Accounts länger im unsicheren Zustand verharren.
Technisch betrachtet geht es bei den CISA-Hinweisen nicht nur um „klassische“ Schwachstellen, sondern um ein Angriffsmodell, das sich mit kompromittierten Sessions, fehlerhaften Authentifizierungswegen und anschließender Codeausführung verbindet. Die betroffenen Umgebungen umfassen die SharePoint Subscription Edition sowie die Versionen 2016 und 2019. Diese zeitliche Häufung fällt nach einem Patch Day am 14. Juli, bei dem Microsoft insgesamt 722 Schwachstellen geschlossen hat – darunter zwei Zero-Days, die aktiv ausgenutzt wurden. Für die IT bedeutet das: Wenn Patches und Identitätsänderungen nicht synchron laufen, entsteht ein Zeitfenster, in dem Angreifer Eskalationen fahren können, während Admins gerade an Workflows oder Umstellungen arbeiten.
Der Wettbewerbs- und Markt-Kontext macht deutlich, warum Identitätsmanagement jetzt auch bei Service-Providern stärker in den Vordergrund rückt. AWS liefert ebenfalls aktualisierte Verfahren zum Zurücksetzen von Benutzerpasswörtern für „AWS Managed Microsoft AD“ – per AWS Management Console, Kommandozeile oder PowerShell. Allerdings nennt AWS Einschränkungen: Passwörter für Nutzer außerhalb bestimmter Organisationseinheiten, etwa der AWS Reserved OU, können nicht zurückgesetzt werden. Gleichzeitig empfiehlt die Sicherheitslandschaft den Wechsel weg von rein passwortbasierten Flows. In der Quelle wird Multi-Faktor-Authentifizierung als wirksam beschrieben; aus Branchenanalysen ergibt sich zudem, dass passwortlose Mechanismen wie Passkeys das Risiko verringern, wenn Phishing- oder Credential-Diebstahl-Ketten ansetzen. Entscheidend wird hier, wie sauber Self-Service und Recovery-Mechanismen in Entra ID und nachgelagerte Systeme eingebunden sind.
Ein wichtiger technischer Hintergrundpunkt ist die Einbettung in zentrale Identitäten: Microsoft Entra ID, das Mitte 2023 aus Azure AD hervorging, bietet zentrale Steuerung und Self-Service-Passwortzurücksetzung für kleine und mittlere Unternehmen. Parallel dazu veröffentlichen Anbieter konkrete Integrationsleitfäden, weil Identity-Sicherheit nicht bei der UI endet. So erschienen am 18. Juli technische Anleitungen zur Integration von Entra ID mit SQL*Plus, die TLS-Verbindungen und spezifische Token-Authentifizierungsparameter erfordern. Das ist mehr als Dokumentation: Solche Parameter entscheiden über die Sicherheit der Transportkette und darüber, ob Token korrekt angewendet und validiert werden. Im Enterprise-Alltag heißt das: Neben SharePoint-Patches müssen auch Datenbank- und App-Integrationen geprüft werden, weil sie häufig die zweite Angriffsfläche darstellen.
Regulatorisch und datenschutzseitig ist der Kern klar: Wer Identitäts- und Berechtigungsmechanismen verwaltet, muss jederzeit nachvollziehen können, welche Accounts, Wiederherstellungswege und Admin-Aktionen zu einem Zeitpunkt aktiv waren. CISA nennt dabei konkrete Fristen für Bundesbehörden, die eine schnelle Schwachstellenbehebung erzwingen. Für Unternehmen außerhalb der US-Behördenpflicht bedeutet das nicht automatisch denselben Kalender, aber die gleiche Logik: Je länger Recovery-Prozesse ohne starke Absicherung laufen, desto wahrscheinlicher wird, dass Angreifer den Weg über kompromittierte Identitäten finden. Wenn außerdem Legacy-Komponenten aus dem Support fallen, steigen die Risiken für unzureichend gepatchte Abhängigkeiten. Genau diese Gemengelage erhöht den Druck für Auditierbarkeit, Least-Privilege und sichere Authentifizierung.
Der Ausblick wird zusätzlich durch das Ende mehrerer Supportzyklen verschärft. Der Support für SharePoint Server 2016, SharePoint Server 2019 und SQL Server 2016 endete offiziell am 14. Juli. Parallel bestätigt Microsoft die Einstellung bestimmter Legacy-Integrationen: Die OneDrive-Synchronisation für ältere Windows-10-Versionen läuft Mitte August aus, und Outlook Meeting Insights soll Anfang September eingestellt werden. Diese Zeitpunkte wirken wie „Nebenfristen“, die Identitätsprozesse indirekt treffen, weil Migrationen, Testing-Phasen und Anpassungen an Admin-Schnittstellen parallel laufen. Für die nächste Stufe empfiehlt sich daher ein konkreter Plan: Patching zuerst, dann Identity-Recovery-Workflows harmonisieren, danach passwortlose Optionen piloten und Integrationspfade wie SQL- oder App-Authentifizierung systematisch validieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 6 ᵃ⤻ᶻ «KI Gadgets»
Ergänzungen und Infos bitte an die Redaktion per eMail an de-info[at]it-boltwise.de. Da wir bei KI-erzeugten News und Inhalten selten auftretende KI-Halluzinationen nicht ausschließen können, bitten wir Sie bei Falschangaben und Fehlinformationen uns via eMail zu kontaktieren und zu informieren. Bitte vergessen Sie nicht in der eMail die Artikel-Headline zu nennen: «CISA warnt vor SharePoint-Lücken (CVSS 9,8): GoDaddy & AWS passen M365-Passwortwege an».