LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor einer gezielten Ausnutzung von zwei SharePoint-Schwachstellen, die zusammen Authentifizierung umgehen und Remote Code Execution ermöglichen. Betroffen sind laut Angaben vor allem SharePoint Subscription Edition sowie die Versionen 2019 und 2016. Für CVE-2026-55040 gab es bereits im Juli 2026 einen Patch, während gleichzeitig Proof-of-Concepts binnen kurzer Zeit veröffentlicht und ausgenutzt wurden. Damit steigt der Druck, besonders ältere Installationen ohne regulären Support rasch zu härten oder zu migrieren.
Die Lage rund um Microsoft SharePoint wirkt aktuell weniger wie ein einzelnes Leck und mehr wie eine bewusst konstruierte Angriffskette. Sicherheitsforscher beobachten eine verstärkte Ausnutzung, bei der Angreifer zunächst Authentifizierungsprüfungen umgehen und anschließend über eine zweite Komponente aus der Ferne Schadcode ausführen. In Honeypots wurden bereits zahlreiche Versuche registriert, während erste Behördenberichte von erfolgreichen Kompromittierungen ausgehen. Für IT-Verantwortliche ist das deshalb brisant, weil sich aus der Kombination beider Schwachstellen nicht nur der Zugriff, sondern der eigentliche Systemimpuls schnell verlagert: von „Einloggen“ zu „Übernehmen“.
Im Zentrum stehen die beiden CVE-Einträge CVE-2026-55040 und CVE-2026-63520. CVE-2026-55040 erhält eine CVSS-Bewertung von 9.1 und zielt auf einen Bypass der JWT-Authentifizierung (JSON Web Token). Nach den vorliegenden Informationen betrifft der Fehler insbesondere die SharePoint Server Subscription Edition sowie SharePoint 2019 und 2016. Für eine erfolgreiche Ausnutzung benötigen Angreifer nicht einfach nur eine offene Oberfläche, sondern konkrete Identitätsdaten des Ziels: Dazu zählt der Security Identifier (SID) oder alternativ der User Principal Name (UPN). Auffällig ist zudem, dass die Entdeckung des Problems nach Angaben von Rapid7 unter Einsatz von KI-Unterstützung erfolgte, was zeigt, wie schnell sich Schwachstellenfindung und -verwertung durch automatisierte Analyse beschleunigen können.
Die zweite Stufe der Kette ist CVE-2026-63520 mit einem CVSS-Wert von 8.1. Diese Schwachstelle sitzt in den Business Connectivity Services (BCS) und eröffnet eine Remote Code Execution (RCE). Technisch ist das der Drehpunkt, an dem aus einem Authentifizierungs- oder Rollenproblem eine echte Code-Ausführung wird: Wenn die Kette einmal funktioniert, können Angreifer die nächste Schutzschicht überspringen und Befehle aus der Ferne anstoßen. Dass dies nicht nur theoretisch bleibt, untermauern Beobachtungen aus Honeypot-Proben, in denen die Kombination gezielt dazu genutzt wurde, unbeabsichtigte Befehlsausführungen zu provozieren. Das Muster legt nahe, dass Angreifer sich bei der Operationalisierung weniger um „Prestige-Ziele“ bemühen, sondern vor allem um erreichbare Systeme mit passender Konfiguration.
Der zeitliche Verlauf verschärft das Risiko für Administratoren spürbar. Laut den vorliegenden Angaben stellte Microsoft bereits im Juli 2026 einen Patch für CVE-2026-55040 bereit. Gleichzeitig wird jedoch betont, dass SharePoint 2016 und 2019 außerhalb des offiziellen Supports liegen, wodurch sich der reale Sicherheitsgewinn von klassischen Update-Strategien dort deutlich reduziert. Am 11. August 2026 veröffentlichte Rapid7 zudem einen Proof-of-Concept (PoC) für die Umgehung der Authentifizierung; bereits innerhalb weniger Stunden wurden daraufhin erste Ausnutzungsversuche beobachtet. Wenige Tage später folgte eine Veröffentlichung von VulnCheck mit einem PoC für die gesamte Schwachstellenkette, während die US-Cybersicherheitsbehörde CISA die Schwachstellen am 18. August 2026 in ihren Katalog bekannter ausgenutzter Sicherheitslücken (KEV) aufnahm. Genau diese Kette aus Patch-Verfügbarkeit, PoC-Release und KEV-Einordnung ist für viele Organisationen der kritische Taktgeber bei der Priorisierung.
Wie groß das potenzielle Zielvolumen ist, zeigen öffentlich genannte Messungen zur Exponierung. Shadowserver identifizierte über 8.700 SharePoint-Server, die direkt aus dem Internet erreichbar sind und damit als potenzielles Einfallstor gelten. Censys beobachtet insgesamt rund 329.000 SharePoint-Instanzen weltweit; davon seien etwa 21.000 On-Premises-Installationen, bei denen Versionsinformationen offenliegen und dadurch gezieltere Schwachstellenprüfungen erleichtert werden. Für die IT-Sicherheitslage bedeutet das: Angreifer müssen nicht erst lange suchen, sondern können relativ schnell nach verwertbaren Versionen und offen erreichbaren Services scannen. Parallel steigt auch der organisatorische Druck, weil das Ereignis nicht nur eine technische Baustelle ist, sondern Schulungs- und Awareness-Themen berührt, etwa wenn kompromittierte Accounts oder manipulierte Inhalte Folgeangriffe ermöglichen.
Die Auswirkungen lassen sich bereits in konkreten Meldungen erkennen. Die Schweizer Bundesverwaltung berichtet infolge einer ungepatchten SharePoint-Schwachstelle über mehr als 200 kompromittierte Konten. In den USA forderte die CISA US-Bundesbehörden bereits Mitte August dazu auf, die Sicherheitslücken bis zum 21. August 2026 zu beheben, und berichtet anschließend von gemeldeten Ausnutzungsversuchen der gesamten Kette. Für Unternehmen ergibt sich daraus weniger ein „Warum jetzt?“, sondern ein „Wie schnell?“. IT-Verantwortlichen wird dringend geraten, verfügbare Sicherheitsupdates einzuspielen; da für ältere Versionen wie SharePoint 2016 und 2019 kein regulärer Support mehr besteht, rücken zusätzlich alternative Schutzmaßnahmen und insbesondere Migration auf unterstüteszte Versionen in den Vordergrund. In der Praxis heißt das: Patchen, wo es geht, Segmentierung und harte Zugriffskontrollen für verbleibende Altbestände, sowie ein kontrollierter Rollout für Umstellungen, bevor Angreifer über PoCs und automatisierte Scans schneller sind als die eigene Änderungsfreigabe.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SharePoint-Kettenangriff: JWT-Bypass und BCS-RCE rücken in den Fokus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SharePoint-Kettenangriff: JWT-Bypass und BCS-RCE rücken in den Fokus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SharePoint-Kettenangriff: JWT-Bypass und BCS-RCE rücken in den Fokus« bei Google Deutschland suchen, bei Bing oder Google News!