Sicherheitsforscher beobachten derzeit eine verst\u00e4rkte Ausnutzung einer gef\u00e4hrlichen Schwachstellenkette in Microsoft SharePoint. Angreifer nutzen dabei zwei kritische Sicherheitsl\u00fccken, um Authentifizierungsmechanismen zu umgehen und aus der Ferne Schadcode auf betroffenen Servern auszuf\u00fchren.<\/p>\n
Berichten zufolge wurden bereits zahlreiche Versuche in sogenannten Honeypots registriert, w\u00e4hrend erste Beh\u00f6rden bereits von erfolgreichen Kompromittierungen berichten.<\/p>\n
Kombination aus Authentifizierungs-Bypass und Remote Code Execution<\/p>\n
Im Zentrum der Bedrohung steht die Kombination der Schwachstellen CVE-2026-55040 und CVE-2026-63520. Die erste L\u00fccke, CVE-2026-55040, weist eine kritische Bewertung von 9.1 auf der CVSS-Skala auf. Es handelt sich um einen Bypass der JWT-Authentifizierung (JSON Web Token), der die SharePoint Server Subscription Edition sowie die Versionen 2019 und 2016 betrifft.<\/p>\n
Experten von Rapid7 entdeckten diesen Fehler unter Einsatz von KI-Unterst\u00fctzung. F\u00fcr eine erfolgreiche Ausnutzung ben\u00f6tigen Angreifer die SID (Security Identifier) oder den UPN (User Principal Name) des Ziels.<\/p>\n
Die zweite Komponente der Kette, CVE-2026-63520, ist eine Schwachstelle in den Business Connectivity Services (BCS), die eine Remote Code Execution (RCE) mit einem CVSS-Wert von 8.1 erm\u00f6glicht. In Kombination erlauben diese L\u00fccken eine vollst\u00e4ndige \u00dcbernahme des betroffenen Systems. Das Sicherheitsunternehmen Defused beobachtete in Honeypot-Proben, dass diese Kette aktiv genutzt wird, um unbeabsichtigte Befehlsausf\u00fchrungen zu provozieren.<\/p>\n
Schnelle Verf\u00fcgbarkeit von Exploits versch\u00e4rft die LageLesen Sie auch:TweakNow WinSecret Plus v10.0.0: Suite mit \u00fcber 25 Optimierungstools<\/a><\/p>\n Die zeitliche Abfolge der Ereignisse verdeutlicht den hohen Druck auf Administratoren. Microsoft hatte bereits im Juli 2026 einen Patch f\u00fcr CVE-2026-55040 zur Verf\u00fcgung gestellt. Es wird jedoch darauf hingewiesen, dass die Versionen SharePoint 2016 und 2019 bereits au\u00dferhalb des offiziellen Supports liegen.<\/p>\n Am 11. August 2026 ver\u00f6ffentlichte Rapid7 einen Proof-of-Concept (PoC) f\u00fcr die Umgehung der Authentifizierung, woraufhin bereits innerhalb weniger Stunden erste Ausnutzungsversuche beobachtet wurden.<\/p>\n Anzeige<\/p>\n Angesichts der rasanten Ausnutzung von Sicherheitsl\u00fccken wird ein proaktiver Schutz f\u00fcr Unternehmen immer wichtiger. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt auf, wie Sie Ihre IT-Sicherheit ohne hohe Investitionen st\u00e4rken. Gratis-E-Book: Cyberbedrohungen abwenden und das Unternehmen sch\u00fctzen<\/a><\/p>\n Am 24. August 2026 folgte eine Ver\u00f6ffentlichung von VulnCheck, die einen PoC f\u00fcr die gesamte Schwachstellenkette bereitstellte. Die US-Cybersicherheitsbeh\u00f6rde CISA reagierte auf die Bedrohungslage und nahm die Schwachstellen am 18. August 2026 in ihren Katalog bekannter ausgenutzter Sicherheitsl\u00fccken (KEV) auf.<\/p>\n Tausende Systeme weltweit gef\u00e4hrdet<\/p>\n Analysen der Bedrohungslage zeigen ein erhebliches Ausma\u00df an potenziellen Angriffszielen. Shadowserver identifizierte \u00fcber 8.700 SharePoint-Server, die direkt \u00fcber das Internet erreichbar und somit potenziell gef\u00e4hrdet sind.<\/p>\n Der Analysedienst Censys beobachtet insgesamt rund 329.000 SharePoint-Instanzen weltweit. Davon seien etwa 21.000 On-Premises-Installationen, bei denen Versionsinformationen offenliegen und die somit gezielt auf ihre Verwundbarkeit hin untersucht werden k\u00f6nnen.<\/p>\n Anzeige<\/p>\n