Microsoft SharePoint steht wieder unter Beschuss. Bei der aktuellen Angriffswelle nutzen Angreifer eine kritische Lücke, mit der sich die Authentifizierung umgehen und Admin-Zugriff erlangen lässt. Betroffen sind potenziell Tausende Server. Die passenden Sicherheitsupdates gibt es bereits seit Juli.
Die Schwachstelle trägt die Kennung CVE-2026-55040 und kommt mit einem CVSS-Wert von 9.1, also kritisch. Ursache sind Probleme in der JWT-Validierungspipeline. Wer sie ausnutzt, umgeht die Anmeldung komplett und kann anschließend Daten abgreifen oder verändern. Laut den Analysen lassen sich auf einer erfolgreich angegriffenen Instanz Aktionen als Site-User oder als Administrator ausführen.
Vom Proof-of-Concept zum Angriff in einem Tag
Der Ablauf ist ein Lehrstück darüber, wie wenig Zeit zwischen Veröffentlichung und Ausnutzung liegt. Am 11. August veröffentlichten Sicherheitsforscher von Rapid7 eine Analyse samt Proof-of-Concept-Exploit. Einen Tag später registrierten Forscher von Defused bereits Angriffe auf ihre Honeypot-Systeme. Angreifer bedienen sich also unmittelbar am veröffentlichten Code, statt eigene Arbeit hineinzustecken.
Microsofts Advisory enthielt zuletzt noch keinen Hinweis auf die laufenden Angriffe. Dass der Vermerk fehlt, sagt allerdings nichts über die Lage aus. Schon im Juli stufte der Konzern eine Ausnutzung als eher wahrscheinlich ein, unter anderem wegen der geringen Angriffskomplexität, die er der Lücke selbst bescheinigt hatte.
Wer betroffen ist
Als anfällig gelten Microsoft SharePoint Server 2016, 2019 und die Subscription Edition. Für alle drei stehen seit dem Juli-Patchday Updates bereit, die CVE-2026-55040 schließen.
Die Scans der Shadowserver Foundation zählen weltweit rund 8.500 SharePoint-Server, die über das Internet erreichbar sind. Wie viele davon inzwischen gepatcht wurden, lässt sich von außen nicht sagen. Angesichts der Erfahrung mit früheren SharePoint-Wellen darf man davon ausgehen, dass ein spürbarer Teil noch offen steht.
Was zu tun ist
Stell sicher, dass auf deinen SharePoint-Servern mindestens die Juli-Updates eingespielt sind. Besser gleich die vom August, denn die schließen erneut 30 Sicherheitslücken in SharePoint.
Und weil zwischen PoC-Veröffentlichung und ersten Angriffen ein einziger Tag lag: Prüf im Anschluss die Logs. Auffällige Authentifizierungsvorgänge, neue Konten mit weitreichenden Rechten und unerwartete Zugriffe auf Site-Inhalte sind die Spuren, nach denen du suchst. Ein Server, der seit Juli ungepatcht am Netz hing, gehört nicht nur aktualisiert, sondern auch untersucht.