LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor einer gezielten Ausnutzung von zwei SharePoint-Schwachstellen, die zusammen Authentifizierung umgehen und Remote Code Execution ermöglichen. Betroffen sind laut Angaben vor allem SharePoint Subscription Edition sowie die Versionen 2019 und 2016. Für CVE-2026-55040 gab es bereits im Juli 2026 einen Patch, während gleichzeitig Proof-of-Concepts binnen kurzer Zeit veröffentlicht und ausgenutzt wurden. Damit steigt der Druck, besonders ältere Installationen ohne regulären Support rasch zu härten oder zu migrieren.
SharePoint-Kettenangriff: JWT-Bypass und BCS-RCE rücken in den Fokus (Foto: IT BOLTWISE)
🧠 KI & Robotik auf Google News abonnieren
Die Lage rund um Microsoft SharePoint wirkt aktuell weniger wie ein einzelnes Leck und mehr wie eine bewusst konstruierte Angriffskette. Sicherheitsforscher beobachten eine verstärkte Ausnutzung, bei der Angreifer zunächst Authentifizierungsprüfungen umgehen und anschließend über eine zweite Komponente aus der Ferne Schadcode ausführen. In Honeypots wurden bereits zahlreiche Versuche registriert, während erste Behördenberichte von erfolgreichen Kompromittierungen ausgehen. Für IT-Verantwortliche ist das deshalb brisant, weil sich aus der Kombination beider Schwachstellen nicht nur der Zugriff, sondern der eigentliche Systemimpuls schnell verlagert: von „Einloggen“ zu „Übernehmen“.
Im Zentrum stehen die beiden CVE-Einträge CVE-2026-55040 und CVE-2026-63520. CVE-2026-55040 erhält eine CVSS-Bewertung von 9.1 und zielt auf einen Bypass der JWT-Authentifizierung (JSON Web Token). Nach den vorliegenden Informationen betrifft der Fehler insbesondere die SharePoint Server Subscription Edition sowie SharePoint 2019 und 2016. Für eine erfolgreiche Ausnutzung benötigen Angreifer nicht einfach nur eine offene Oberfläche, sondern konkrete Identitätsdaten des Ziels: Dazu zählt der Security Identifier (SID) oder alternativ der User Principal Name (UPN). Auffällig ist zudem, dass die Entdeckung des Problems nach Angaben von Rapid7 unter Einsatz von KI-Unterstützung erfolgte, was zeigt, wie schnell sich Schwachstellenfindung und -verwertung durch automatisierte Analyse beschleunigen können.
Die zweite Stufe der Kette ist CVE-2026-63520 mit einem CVSS-Wert von 8.1. Diese Schwachstelle sitzt in den Business Connectivity Services (BCS) und eröffnet eine Remote Code Execution (RCE). Technisch ist das der Drehpunkt, an dem aus einem Authentifizierungs- oder Rollenproblem eine echte Code-Ausführung wird: Wenn die Kette einmal funktioniert, können Angreifer die nächste Schutzschicht überspringen und Befehle aus der Ferne anstoßen. Dass dies nicht nur theoretisch bleibt, untermauern Beobachtungen aus Honeypot-Proben, in denen die Kombination gezielt dazu genutzt wurde, unbeabsichtigte Befehlsausführungen zu provozieren. Das Muster legt nahe, dass Angreifer sich bei der Operationalisierung weniger um „Prestige-Ziele“ bemühen, sondern vor allem um erreichbare Systeme mit passender Konfiguration.
Der zeitliche Verlauf verschärft das Risiko für Administratoren spürbar. Laut den vorliegenden Angaben stellte Microsoft bereits im Juli 2026 einen Patch für CVE-2026-55040 bereit. Gleichzeitig wird jedoch betont, dass SharePoint 2016 und 2019 außerhalb des offiziellen Supports liegen, wodurch sich der reale Sicherheitsgewinn von klassischen Update-Strategien dort deutlich reduziert. Am 11. August 2026 veröffentlichte Rapid7 zudem einen Proof-of-Concept (PoC) für die Umgehung der Authentifizierung; bereits innerhalb weniger Stunden wurden daraufhin erste Ausnutzungsversuche beobachtet. Wenige Tage später folgte eine Veröffentlichung von VulnCheck mit einem PoC für die gesamte Schwachstellenkette, während die US-Cybersicherheitsbehörde CISA die Schwachstellen am 18. August 2026 in ihren Katalog bekannter ausgenutzter Sicherheitslücken (KEV) aufnahm. Genau diese Kette aus Patch-Verfügbarkeit, PoC-Release und KEV-Einordnung ist für viele Organisationen der kritische Taktgeber bei der Priorisierung.
Wie groß das potenzielle Zielvolumen ist, zeigen öffentlich genannte Messungen zur Exponierung. Shadowserver identifizierte über 8.700 SharePoint-Server, die direkt aus dem Internet erreichbar sind und damit als potenzielles Einfallstor gelten. Censys beobachtet insgesamt rund 329.000 SharePoint-Instanzen weltweit; davon seien etwa 21.000 On-Premises-Installationen, bei denen Versionsinformationen offenliegen und dadurch gezieltere Schwachstellenprüfungen erleichtert werden. Für die IT-Sicherheitslage bedeutet das: Angreifer müssen nicht erst lange suchen, sondern können relativ schnell nach verwertbaren Versionen und offen erreichbaren Services scannen. Parallel steigt auch der organisatorische Druck, weil das Ereignis nicht nur eine technische Baustelle ist, sondern Schulungs- und Awareness-Themen berührt, etwa wenn kompromittierte Accounts oder manipulierte Inhalte Folgeangriffe ermöglichen.
Die Auswirkungen lassen sich bereits in konkreten Meldungen erkennen. Die Schweizer Bundesverwaltung berichtet infolge einer ungepatchten SharePoint-Schwachstelle über mehr als 200 kompromittierte Konten. In den USA forderte die CISA US-Bundesbehörden bereits Mitte August dazu auf, die Sicherheitslücken bis zum 21. August 2026 zu beheben, und berichtet anschließend von gemeldeten Ausnutzungsversuchen der gesamten Kette. Für Unternehmen ergibt sich daraus weniger ein „Warum jetzt?“, sondern ein „Wie schnell?“. IT-Verantwortlichen wird dringend geraten, verfügbare Sicherheitsupdates einzuspielen; da für ältere Versionen wie SharePoint 2016 und 2019 kein regulärer Support mehr besteht, rücken zusätzlich alternative Schutzmaßnahmen und insbesondere Migration auf unterstüteszte Versionen in den Vordergrund. In der Praxis heißt das: Patchen, wo es geht, Segmentierung und harte Zugriffskontrollen für verbleibende Altbestände, sowie ein kontrollierter Rollout für Umstellungen, bevor Angreifer über PoCs und automatisierte Scans schneller sind als die eigene Änderungsfreigabe.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»
Ergänzungen und Infos bitte an die Redaktion per eMail an de-info[at]it-boltwise.de. Da wir bei KI-erzeugten News und Inhalten selten auftretende KI-Halluzinationen nicht ausschließen können, bitten wir Sie bei Falschangaben und Fehlinformationen uns via eMail zu kontaktieren und zu informieren. Bitte vergessen Sie nicht in der eMail die Artikel-Headline zu nennen: «SharePoint-Kettenangriff: JWT-Bypass und BCS-RCE rücken in den Fokus».