SharePoint-Schwachstelle kurz nach Veröffentlichung eines öffentlichen PoC ausgenutzt

Eine im Juli behobene Schwachstelle in Microsoft SharePoint wird inzwischen in freier Wildbahn angegriffen, wie eine nach Veröffentlichung eines öffentlichen Proof-of-Concept-Exploits durchgeführte Bedrohungsanalyse ergab.

Die als CVE-2026-55040 geführte Schwachstelle wird von Microsoft als Schwachstelle bei der Authentifizierung beschrieben. Sie kann es einem nicht authentifizierten Angreifer ermöglichen, eine Authentifizierungskontrolle über ein Netzwerk zu umgehen. Eine erfolgreiche Ausnutzung kann dem Angreifer Zugriff auf Dateien gewähren, die Änderung von Daten ermöglichen und die Ausführung von Aktionen mit den Berechtigungen eines SharePoint-Sitebenutzers oder -Administrators erlauben.

Microsoft behob die Schwachstelle mit seinen Sicherheitsupdates vom Juli 2026. Zum Zeitpunkt der Berichterstattung war der Sicherheitshinweis jedoch noch nicht aktualisiert worden, um eine aktive Ausnutzung zu bestätigen. Microsoft aktualisiert seine Hinweise mitunter, sobald zusätzliche Belege vorliegen.

Das Sicherheitsunternehmen Rapid7 veröffentlichte am 11. August eine technische Analyse und einen funktionsfähigen Proof of Concept. Am folgenden Tag teilte das Unternehmen für Bedrohungsaufklärung Defused mit, dass seine Honeypots Versuche zur Ausnutzung der Schwachstelle beobachtet hätten. Berichten zufolge wurden dabei Techniken eingesetzt, die sich in Rapid7s öffentlich verfügbarem Code wiederfinden. Dies deutet darauf hin, dass die Angreifer kurz nach der Veröffentlichung schnell reagierten.

Zusätzliche SharePoint-Schwachstelle identifiziert

Rapid7 legte außerdem CVE-2026-63520 offen, eine separate SharePoint-Schwachstelle, die potenziell mit CVE-2026-55040 kombiniert werden könnte, um eine nicht authentifizierte Remotecodeausführung auf betroffenen Servern zu erreichen. Microsoft behob CVE-2026-63520 mit seinen August-Updates zum Patch Tuesday. Derzeit gibt es keine gemeldeten Hinweise darauf, dass Angreifer diese zweite Schwachstelle ausnutzen.

Breitere Welle von SharePoint-Angriffen

Die Entwicklung fällt in eine Phase zunehmender Ausnutzung von Schwachstellen in SharePoint. Die Cybersecurity and Infrastructure Security Agency forderte Unternehmen kürzlich auf, verfügbare Updates zu installieren und ihre SharePoint-Bereitstellungen abzusichern, und warnte davor, dass CVE-2026-55040 ausgenutzt werden könnte. Die Behörde hatte die Schwachstelle noch nicht in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen.

CVE-2026-55040 ist Berichten zufolge die fünfte SharePoint-Schwachstelle, die im Sommer mit Ausnutzungsaktivitäten in Verbindung gebracht wurde, nach CVE-2026-50522, CVE-2026-58644, CVE-2026-56164 und CVE-2026-45659. In öffentlich zugänglichen Berichten wurden die verantwortlichen Gruppen nicht identifiziert. Unternehmen, die SharePoint einsetzen, sollten die relevanten Microsoft-Updates priorisieren, nach außen erreichbare Instanzen überprüfen und Authentifizierungs- sowie Dateizugriffsaktivitäten auf verdächtiges Verhalten überwachen.