Umgehung der SharePoint-Authentifizierung nach Veröffentlichung eines PoC unter Angriff

Bedrohungsakteure haben Berichten zufolge kurz nach der Veröffentlichung von Proof-of-Concept-Exploit-Code durch Sicherheitsforscher damit begonnen, eine kritische Microsoft-SharePoint-Schwachstelle anzugreifen.

Die unter der Bezeichnung CVE-2026-55040 geführte Schwachstelle hat einen CVSS-Score von 9,1 und wurde von Microsoft mit den Sicherheitsupdates vom Juli 2026 behoben. Die Schwachstelle wird als Umgehung der Authentifizierung eingestuft und durch Schwächen im Token-Validierungsprozess von SharePoint verursacht. Microsoft erklärte, dass ein erfolgreicher Angriff es einem Angreifer ermöglichen könnte, sich als ein Benutzer auszugeben, Dateien zu lesen und Daten zu ändern. Eine Beeinträchtigung der Systemverfügbarkeit sei jedoch nicht möglich.

Laut Defused Cyber verwenden Angreifer Proof-of-Concept-Code, den Rapid7 Anfang August veröffentlicht hat. Die Analyse von Rapid7 ergab, dass die Ursache in mehreren Schwachstellen bei der Verarbeitung von Bearer-Service-zu-Service-Tokens liegt. Zusammengenommen können diese Schwachstellen einem nicht authentifizierten Angreifer aus der Ferne ermöglichen, ein Token zu erstellen, das SharePoint akzeptiert, und es zu verwenden, um sich als SharePoint-Benutzer auszugeben, einschließlich eines Administrators.

Die auf Python basierende Demonstration von Rapid7 kann den Domänencontroller eines Ziels abfragen und die Sicherheitskennungen von Benutzern ermitteln. Dadurch lassen sich Konten mit erweiterten SharePoint-Berechtigungen identifizieren. Die Untersuchung hob Schwachstellen bei der Token-Analyse, der Zertifikatsverarbeitung, der Überprüfung des Ausstellers und der Signaturprüfung hervor.

Die von KEVIntel erfassten Telemetriedaten verzeichneten ab dem 19. Juli zwölf mutmaßliche Angriffsversuche. Acht davon ereigneten sich am 12. und 13. August, kurz nachdem der öffentliche PoC verfügbar geworden war. Die Aktivitäten gingen von acht IP-Adressen aus, die Standorten in Hongkong, Japan, den Niederlanden, Taiwan und den Vereinigten Staaten zugeordnet sind. Die Forscher konnten die Aktivitäten keiner bestimmten Bedrohungsgruppe zuordnen und die Ziele der Angreifer nicht bestimmen.

Empfohlene Maßnahmen

Organisationen, die SharePoint betreiben, sollten überprüfen, ob die Microsoft-Updates vom Juli 2026 auf allen betroffenen Servern installiert wurden. Administratoren sollten außerdem Authentifizierungs- und Webserverprotokolle auf ungewöhnliche nicht authentifizierte Anfragen, unerwartete Identitätsübernahmen von Konten oder Zugriffe auf sensible Dateien prüfen. CVE-2026-55040 ist Berichten zufolge die fünfte SharePoint-Schwachstelle, die 2026 bei aktiven Angriffen beobachtet wurde. Dies unterstreicht die Notwendigkeit einer schnellen Bereitstellung von Patches und einer kontinuierlichen Überwachung.