WASHINGTON / LONDON (IT BOLTWISE) – Die US-Behörde CISA hebt kritische SharePoint-Schwachstellen mit CVSS 9,8 hervor, die bereits aktiv ausgenutzt werden. Während Bundesbehörden bis zum 19. Juli patchen mussten, rüsten GoDaddy und AWS ihre Anleitungen zur Microsoft-365-Identitäts- und Passwortverwaltung nach. Für Unternehmen bedeutet das: weniger Spielraum bei der User-Verwaltung, mehr Fokus auf zentrale Identitäten, sichere Authentifizierungsflüsse und saubere Migrationspfade in Richtung passwortloser Methoden. Zusätzlich verschärfen das Patch-Tempo von Microsoft und das Ende mehrerer Legacy-Supportzyklen den Handlungsdruck in der Praxis.
Die Meldung trifft IT-Teams an einem empfindlichen Punkt: Während die Abhängigkeit von Microsoft-Ökosystemen weiter steigt, wächst auch die Angriffsfläche rund um Authentifizierung und Berechtigungsflüsse. CISA hat im Juli vier kritische Sicherheitslücken in Microsoft SharePoint identifiziert, darunter CVE-2026-58644 mit einem CVSS-Schweregrad von 9,8, die von Bundesbehörden bis zum 19. Juli gepatcht werden mussten. Besonders brisant ist, dass Sicherheitsforscher Kombinationen aus Authentifizierungsumgehung und Codeausführung beobachten, mit dem Ziel Webshells auf betroffenen Systemen zu installieren. Das verschiebt die Prioritäten weg von reinen Passwort-Richtlinien hin zu Identity-Sicherheit und Patch-Disziplin.
GoDaddy adressiert diese Verschiebung in erster Linie über die konkrete Praxis der Passwortverwaltung für Microsoft 365: Am 19. Juli veröffentlichte der Anbieter eine überarbeitete Anleitung für Kunden, die Microsoft-365-Identitäten über das firmeneigene E-Mail- und Office-Dashboard steuern. Der neue Workflow erlaubt es Nutzern, Passwörter direkt im zentralen Dashboard zurückzusetzen: Nach der Anmeldung, Auswahl einer Wiederherstellungs-E-Mail und Bestätigung werden die neuen Zugangsdaten gesetzt. Laut Anleitung kann die Synchronisation der Änderungen bis zu 30 Minuten dauern. Solche Verzögerungen sind nicht nur operativ relevant, sondern auch sicherheitstechnisch, weil sie kurzfristig Inkonsistenzen zwischen Systemen erzeugen können.
Unter der Oberfläche steckt zudem ein zweites Thema, das in vielen Unternehmen unterschätzt wird: Benutzerlizenzierung und Mandantenlogik. GoDaddy stellt klar, dass für von GoDaddy verwaltete Mandanten in der Regel jeder Nutzer eine eigene Lizenz benötigt. Wer Nutzer ohne Lizenzen ergänzen will, muss den Mandanten zunächst von GoDaddy entflechten; dafür ist der direkte Wechsel ins Microsoft-365-Admin-Center erforderlich. Gleichzeitig warnt der Anbieter vor möglichen vorübergehenden Unterbrechungen des E-Mail-Dienstes während dieses Übergangs. Genau hier werden Security und Betriebsstabilität eng verkoppelt: Ein verschobener oder abgebrochener Admin-Workflow kann dazu führen, dass Berechtigungen nicht rechtzeitig greifen und Accounts länger im unsicheren Zustand verharren.
Technisch betrachtet geht es bei den CISA-Hinweisen nicht nur um „klassische“ Schwachstellen, sondern um ein Angriffsmodell, das sich mit kompromittierten Sessions, fehlerhaften Authentifizierungswegen und anschließender Codeausführung verbindet. Die betroffenen Umgebungen umfassen die SharePoint Subscription Edition sowie die Versionen 2016 und 2019. Diese zeitliche Häufung fällt nach einem Patch Day am 14. Juli, bei dem Microsoft insgesamt 722 Schwachstellen geschlossen hat – darunter zwei Zero-Days, die aktiv ausgenutzt wurden. Für die IT bedeutet das: Wenn Patches und Identitätsänderungen nicht synchron laufen, entsteht ein Zeitfenster, in dem Angreifer Eskalationen fahren können, während Admins gerade an Workflows oder Umstellungen arbeiten.
Der Wettbewerbs- und Markt-Kontext macht deutlich, warum Identitätsmanagement jetzt auch bei Service-Providern stärker in den Vordergrund rückt. AWS liefert ebenfalls aktualisierte Verfahren zum Zurücksetzen von Benutzerpasswörtern für „AWS Managed Microsoft AD“ – per AWS Management Console, Kommandozeile oder PowerShell. Allerdings nennt AWS Einschränkungen: Passwörter für Nutzer außerhalb bestimmter Organisationseinheiten, etwa der AWS Reserved OU, können nicht zurückgesetzt werden. Gleichzeitig empfiehlt die Sicherheitslandschaft den Wechsel weg von rein passwortbasierten Flows. In der Quelle wird Multi-Faktor-Authentifizierung als wirksam beschrieben; aus Branchenanalysen ergibt sich zudem, dass passwortlose Mechanismen wie Passkeys das Risiko verringern, wenn Phishing- oder Credential-Diebstahl-Ketten ansetzen. Entscheidend wird hier, wie sauber Self-Service und Recovery-Mechanismen in Entra ID und nachgelagerte Systeme eingebunden sind.
Ein wichtiger technischer Hintergrundpunkt ist die Einbettung in zentrale Identitäten: Microsoft Entra ID, das Mitte 2023 aus Azure AD hervorging, bietet zentrale Steuerung und Self-Service-Passwortzurücksetzung für kleine und mittlere Unternehmen. Parallel dazu veröffentlichen Anbieter konkrete Integrationsleitfäden, weil Identity-Sicherheit nicht bei der UI endet. So erschienen am 18. Juli technische Anleitungen zur Integration von Entra ID mit SQL*Plus, die TLS-Verbindungen und spezifische Token-Authentifizierungsparameter erfordern. Das ist mehr als Dokumentation: Solche Parameter entscheiden über die Sicherheit der Transportkette und darüber, ob Token korrekt angewendet und validiert werden. Im Enterprise-Alltag heißt das: Neben SharePoint-Patches müssen auch Datenbank- und App-Integrationen geprüft werden, weil sie häufig die zweite Angriffsfläche darstellen.
Regulatorisch und datenschutzseitig ist der Kern klar: Wer Identitäts- und Berechtigungsmechanismen verwaltet, muss jederzeit nachvollziehen können, welche Accounts, Wiederherstellungswege und Admin-Aktionen zu einem Zeitpunkt aktiv waren. CISA nennt dabei konkrete Fristen für Bundesbehörden, die eine schnelle Schwachstellenbehebung erzwingen. Für Unternehmen außerhalb der US-Behördenpflicht bedeutet das nicht automatisch denselben Kalender, aber die gleiche Logik: Je länger Recovery-Prozesse ohne starke Absicherung laufen, desto wahrscheinlicher wird, dass Angreifer den Weg über kompromittierte Identitäten finden. Wenn außerdem Legacy-Komponenten aus dem Support fallen, steigen die Risiken für unzureichend gepatchte Abhängigkeiten. Genau diese Gemengelage erhöht den Druck für Auditierbarkeit, Least-Privilege und sichere Authentifizierung.
Der Ausblick wird zusätzlich durch das Ende mehrerer Supportzyklen verschärft. Der Support für SharePoint Server 2016, SharePoint Server 2019 und SQL Server 2016 endete offiziell am 14. Juli. Parallel bestätigt Microsoft die Einstellung bestimmter Legacy-Integrationen: Die OneDrive-Synchronisation für ältere Windows-10-Versionen läuft Mitte August aus, und Outlook Meeting Insights soll Anfang September eingestellt werden. Diese Zeitpunkte wirken wie „Nebenfristen“, die Identitätsprozesse indirekt treffen, weil Migrationen, Testing-Phasen und Anpassungen an Admin-Schnittstellen parallel laufen. Für die nächste Stufe empfiehlt sich daher ein konkreter Plan: Patching zuerst, dann Identity-Recovery-Workflows harmonisieren, danach passwortlose Optionen piloten und Integrationspfade wie SQL- oder App-Authentifizierung systematisch validieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CISA warnt vor SharePoint-Lücken (CVSS 9,8): GoDaddy & AWS passen M365-Passwortwege an" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CISA warnt vor SharePoint-Lücken (CVSS 9,8): GoDaddy & AWS passen M365-Passwortwege an" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CISA warnt vor SharePoint-Lücken (CVSS 9,8): GoDaddy & AWS passen M365-Passwortwege an« bei Google Deutschland suchen, bei Bing oder Google News!