Ein SharePoint-Fehler, den Microsoft im letzten Monat geschlossen hat, steht inzwischen im Mittelpunkt realer Angriffe. Wie über mehrere Sicherheitsmeldungen bekannt wurde, begann die Ausnutzung kurz nachdem ein Proof-of-Concept (PoC) veröffentlicht worden war. Betroffen ist die Schwachstelle CVE-2026-55040, die als Problem mit schwacher Authentifizierung beschrieben wird.
Für Organisationen bedeutet das: Warten auf „spätere Bestätigung“ ist riskant. Bereits wenige Tage nach der PoC-Veröffentlichung konnten Sicherheitsteams Hinweise auf aktive Versuche in der Wildnis beobachten.
Was steckt hinter CVE-2026-55040?
Microsoft ordnet CVE-2026-55040 als Schwachstelle mit schwacher Authentifizierung ein. Demnach kann ein Angreifer eine Sicherheitsfunktion über ein Netzwerk umgehen. In der Folge könnte er Dateien einsehen und Daten ändern. Microsoft beschreibt zudem, dass im Netzwerkangriff ein nicht authentifizierter Angreifer die Authentifizierung umgehen und anschließend eine anonyme Verbindung herstellen kann.
Technisch wurde die Schwachstelle laut Sicherheitsdetails so dargestellt, dass ein entfernter, nicht authentifizierter Angreifer die Authentifizierungsprüfung umgehen und Aktionen ausführen kann – und zwar in der Rolle eines SharePoint-Site-Users oder sogar eines Administrators, je nach Ziel und Berechtigungen.
PoC-Release beschleunigt offenbar die Angriffe
Ein entscheidender Faktor war der zeitliche Verlauf: Die Angriffe begannen offenbar kurz nach der Veröffentlichung eines PoC. Rapid7 stellte am 11. August die technischen Hintergründe zu CVE-2026-55040 bereit und machte dazu einen PoC-Ansatz verfügbar. Auch Defused berichtete am 12. August, dass dessen Honeypots bereits Ausnutzungsversuche aufgezeichnet haben.
Wichtig ist dabei der Hinweis, dass die beobachteten Versuche den veröffentlichten PoC nutzen. Das spricht dafür, dass die Hürde für Angreifer deutlich gesunken ist, sobald die Details öffentlich verfügbar waren.
Warum Microsofts Hinweisverhalten trotzdem relevant bleibt
In den offiziellen Microsoft-Advisories ist laut Berichten zum Zeitpunkt der Meldungen noch nicht explizit erwähnt, dass die Schwachstelle aktiv ausgenutzt wird. Das ist jedoch nicht ungewöhnlich: In der Praxis dauert es oft einige Tage, bis ein Hersteller seine Kommunikation an bestätigte Angriffsmuster anpasst.
Für betroffene Unternehmen ist das eine klare Botschaft: Selbst wenn eine Sicherheitsseite „noch ohne Exploit-Nachweis“ wirkt, kann die reale Lage längst anders aussehen – besonders nach einer PoC-Veröffentlichung.
Welche Auswirkungen sind realistisch?
Microsoft nennt als mögliche Folgen das Offenlegen von Dateien sowie die Änderung von Daten. Ergänzend zeigte Rapid7, dass ein Angriff über das Netzwerk ohne gültige Authentifizierung ablaufen kann und damit eine Art „Umgehungslogik“ im Authentifizierungsprozess ausnutzt.
Das Risiko steigt, wenn in SharePoint-Konfigurationen oder Berechtigungsstrukturen ohnehin leistungsfähige Rollen vergeben sind oder wenn ein Angreifer dadurch effektive Rechte erlangen kann. Da SharePoint zentral für Dokumente und Collaboration steht, können bereits einzelne erfolgreiche Vorgänge zu weiterem Schaden führen.
Empfehlungen: So reagieren Sie jetzt
Wenn Sie SharePoint betreiben, sollte Ihr Fokus kurzfristig auf Abdeckung und Kontrolle liegen. Konkret empfiehlt es sich, die folgenden Schritte zeitnah zu prüfen und umzusetzen:
- Patches priorisieren: Microsoft hat die Schwachstelle im Rahmen der Juli Patch Tuesday-Updates behoben. Prüfen Sie, ob Ihre SharePoint-Umgebung vollständig auf dem Stand ist.
- Angriffsfläche reduzieren: Überlegen Sie, welche Zugriffswege erreichbar sind (z. B. aus dem Internet) und welche Restriktionen bereits aktiv sind.
- Monitoring schärfen: Achten Sie auf Anzeichen für Authentifizierungsumgehungen und ungewöhnliche Operationen im Zusammenhang mit SharePoint-Sites.
- Indicators und Logs auswerten: Protokolle helfen, frühe Spuren von Exploit-Versuchen zu erkennen – insbesondere dann, wenn Honeypots oder Security-Tools bereits entsprechende Muster melden.
- Segmentierung und Least Privilege: Begrenzen Sie Berechtigungen, wo möglich, und reduzieren Sie die Auswirkungen, falls doch ein Angriff gelingt.
Zusätzlich gab es laut Berichten eine Aufforderung durch CISA, SharePoint-Instanzen aktuell zu halten und zu schützen. Auch wenn CVE-2026-55040 (zum Zeitpunkt der Meldungen) noch nicht in allen Katalogen gelistet war, ist die Dringlichkeit aufgrund aktiver Nutzung in der Praxis hoch.
Mehr als ein Fehler: mögliche Verkettung mit CVE-2026-63520
Neben CVE-2026-55040 lenkt eine zweite SharePoint-Schwäche die Aufmerksamkeit auf sich. Rapid7 berichtete außerdem am Dienstag über CVE-2026-63520. Dabei geht es um einen Fehler, der sich mit CVE-2026-55040 verketten lassen könnte, um eine nicht authentifizierte Remote-Code-Ausführung auf Servern zu erreichen.
Wichtig: Zu CVE-2026-63520 gab es in den Berichten keine Hinweise darauf, dass auch dieser Fehler bereits aktiv in Angriffen ausgenutzt wird. Dennoch zeigt die Kombination, dass einzelne Schwachstellenketten eine deutlich größere Gefahr darstellen können als isolierte Sicherheitslücken.
Microsoft hat auch CVE-2026-63520 im Rahmen der August Patch Tuesday-Updates adressiert. Für Sicherheitsverantwortliche heißt das: Patch-Planungen sollten beide Themen berücksichtigen – selbst wenn nur eine Schwachstelle aktuell als „aktiv ausgenutzt“ beschrieben wird.
Ein breiterer Trend: viele SharePoint-Lücken in diesem Sommer
Die Lage passt in ein größeres Muster: In diesem Sommer ist bereits mehrfach bekannt geworden, dass SharePoint-Schwachstellen ausgenutzt werden. In den Berichten werden unter anderem weitere CVEs genannt, deren Ausnutzung öffentlich geworden ist: CVE-2026-50522, CVE-2026-58644, CVE-2026-56164 und CVE-2026-45659.
Gleichzeitig gibt es laut den Meldungen keine öffentlich belastbaren Informationen dazu, wer hinter den jeweiligen Ausnutzungsversuchen steckt. Das erschwert die Einordnung und macht schnelle technische Gegenmaßnahmen umso wichtiger.
Was Sie daraus lernen können
Der wichtigste Punkt aus der aktuellen Entwicklung zu CVE-2026-55040 ist der zeitliche Zusammenhang: Sobald ein PoC verfügbar ist, können Angriffe deutlich schneller und häufiger auftreten. Selbst wenn ein offizielles Advisory noch keine Exploit-Details nennt, kann die reale Ausnutzung bereits laufen.
Planen Sie daher so, dass Patch-Management, Monitoring und Incident-Vorbereitung nicht erst beginnen, wenn ein Einzelfall „öffentlich bestätigt“ ist. Gerade bei Plattformen wie SharePoint, die Dokumente, Freigaben und Rollen zusammenführen, lohnt sich ein konsequenter Ansatz: aktuell halten, Zugriffe begrenzen und verdächtige Aktivität schnell untersuchen.
Fazit
CVE-2026-55040 ist nach PoC-Veröffentlichung offenbar schnell in der Praxis angekommen. Microsoft hat die Schwachstelle bereits mit den Juli Patch Tuesday-Updates behoben, doch Berichte zeigen, dass Ausnutzungsversuche kurz nach dem PoC-Release beobachtet wurden. Ergänzend kann eine zweite Schwachstelle (CVE-2026-63520) theoretisch zur Verkettung genutzt werden – auch wenn dafür zum Zeitpunkt der Meldungen noch kein aktiver Angriffsnachweis vorlag.
Für Betreiber gilt jetzt: Prüfen Sie Ihren Patch-Stand, schärfen Sie Monitoring und sichern Sie SharePoint konsequent ab. So reduzieren Sie das Risiko, dass PoCs nur als Theorie erscheinen – und tatsächlich Schaden anrichten.
Quelle: https://www.securityweek.com/sharepoint-vulnerability-exploited-shortly-after-poc-release/
