Microsoft schloss die SharePoint-Lücke CVE-2026-55040 am 14. Juli. Vier Wochen später veröffentlichte Rapid7 die technische Analyse samt Beispielcode, einen Tag darauf trafen die ersten Angriffe in fremden Honeypots ein. Für SharePoint Server 2016 und 2019 war dieser Juli-Patch zugleich das letzte Sicherheitsupdate.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Die SharePoint-Lücke trägt den Schweregrad 9,1 von 10 und erlaubt einem Angreifer ohne Konto, sich als beliebiger Nutzer der Plattform auszugeben.[2] Vier Wochen lang blieb der Fehler unauffällig. Nach der Veröffentlichung des Beispielcodes am 11. August meldete der Bedrohungsdienst Defused schon am Folgetag passende Zugriffe auf seine Honeypots.
Das Wichtigste in Kürze
- Ein unangemeldeter Angreifer gibt sich mit einem selbst gebauten Token als SharePoint-Nutzer oder Administrator aus.
- Microsoft lieferte den Patch am 14. Juli 2026, Rapid7 die technische Analyse mit Beispielcode am 11. August.
- Für SharePoint Server 2016 und 2019 endete der Support genau an diesem Patchtag.
- Rapid7 kettete die Lücke im Labor mit einer zweiten Schwachstelle zur Codeausführung ohne Anmeldung.
Wie fälscht ein Angreifer ein gültiges SharePoint-Token?
Die Signaturprüfung schaltet SharePoint im Validierungspfad selbst ab. Dort steht die Option RequireSignedTokens auf false, womit die JWT-Bibliothek auch Token mit dem Algorithmus „none“ annimmt. Das innere Actor-Token verweist über den Zertifikats-Fingerabdruck im Feld x5t auf den eigenen Sicherheitstokendienst der Installation. Gegen diesen Schlüssel prüft der Server die Signatur an keiner Stelle.[1] Der letzten Kontrolle genügt eine beliebige nicht leere Zeichenkette.
Ein Detail bleibt Voraussetzung: Der Angreifer braucht die Windows-Kennung oder den Anmeldenamen des Opfers. Stephen Fewer von Rapid7 fand den Fehler und kombinierte ihn im Labor mit einer Lücke für Codeausführung, was aus dem Anmeldetrick einen vollen Serverzugriff ohne Konto macht.[1] Wie lang die Warteschlange in Redmond inzwischen ist, zeigte im Juli der Rückstau von 300 offenen Meldungen.
Warum ist die Lücke kein Einzelfall?
Vier weitere SharePoint-Lücken landeten allein im Juli 2026 im Katalog ausgenutzter Schwachstellen der US-Behörde CISA, jeweils mit einer Frist von drei Tagen für Bundesbehörden. CVE-2026-55040 fehlt dort bislang, der Katalog datiert vom 11. August.[3] Ein Jahr zuvor lief die Angriffswelle ToolShell nach demselben Muster, mit dem Eintrag CVE-2025-53770 vom 20. Juli 2025.
Angreifer rechnen nach jedem Patchtag mit Nachzüglern, und die Vorlage liefert die Sicherheitsforschung gleich mit. Vier Tage genügten im Juli, um ServiceNows Sandbox über einen zweiten Weg zu umgehen. Die Gunra-Ransomware lebt seit Monaten von zwei alten Fortinet-Lücken. Shadowserver zählt weiterhin mehr als 8.500 SharePoint-Server, die aus dem Internet erreichbar sind.
Ein Patch vom Juli schützt nur die Server, auf denen er liegt. Nach vier ruhigen Wochen genügt ein veröffentlichter Beispielcode, damit aus einem Ticket im Backlog ein Sicherheitsvorfall wird.
— Markus Seyfferth, Chefredakteur Dr. Web
Vom Patch am 14. Juli 2026 bis zu den ersten beobachteten Angriffen am 12. August 2026
Vier weitere SharePoint-Lücken stehen seit Juli 2026 im CISA-Katalog ausgenutzter Schwachstellen. CVE-2026-55040 fehlt dort bislang.
Was heißt das für deutsche Unternehmen?
Der 14. Juli 2026 war für SharePoint Server 2016 und 2019 der letzte Tag mit Sicherheitsupdates.[4] Beide Versionen laufen in vielen mittelständischen Netzen als Intranet, häufig zusätzlich von außen erreichbar. Die nächste Lücke dieser Art bekommt dort keinen Patch mehr, unabhängig vom Schweregrad.
Für besonders wichtige und wichtige Einrichtungen verlangt § 30 BSIG Risikomanagementmaßnahmen nach dem Stand der Technik. Ein Server ohne Herstellersupport lässt sich damit kaum vereinbaren, und die Verantwortung für diese Abwägung liegt bei der Geschäftsführung, nicht beim Systemhaus.
- Patchstand prüfen: Subscription Edition über KB5002882, Server 2019 über KB5002883, Server 2016 über KB5002891.
- Erreichbarkeit aus dem Internet einschränken, solange ein Server ungepatcht läuft.
- Zugriffsprotokolle ab dem 11. August auf Anfragen mit fremden Anmeldetoken durchsehen.
Wie schnell aus einer Sicherheitsmeldung ein Massenscan wird, zeigte vergangene Woche die 10.0-Lücke in SAP Commerce Cloud. Der Zeitpuffer nach einem Patchtag schrumpft, bei SharePoint inzwischen auf wenige Tage.
Quellen
[1] Rapid7: „Microsoft SharePoint JWT Token Authentication Bypass (CVE-2026-55040)“
[2] Microsoft Security Response Center: „CVE-2026-55040, Microsoft Office SharePoint Security Feature Bypass“
[3] CISA: „Known Exploited Vulnerabilities Catalog“
[4] Microsoft Lifecycle: „Ending Support in 2026“
Mehr Newshunger?
- Rückstau bei 300 Sicherheitslücken: Microsoft kommt nicht mehr nach
- SAP Commerce Cloud: Eine 10.0-Lücke öffnet den Webshop für Angreifer
- Vier Tage nach dem Patch: Angreifer umgehen ServiceNows Sandbox über einen zweiten Weg
- Gunra-Ransomware: Zwei alte Fortinet-Lücken öffnen die Firewall
- Massenhafte Schwachstellen-Scans tarnen sich als KI-Bots wie ClaudeBot
- TeamCity-Lücke: Angreifer übernehmen den Build-Server ohne Zugangsdaten
