CVE-2026-55040: Kritische SharePoint-JWT-Lücke wird aktiv ausgenutzt – Patches dringend empfohlen

Angreifer nutzen derzeit aktiv eine kritische Sicherheitslücke in lokalen Microsoft SharePoint-Servern aus – nur wenige Tage, nachdem das Sicherheitsunternehmen Rapid7 einen vollständigen Proof-of-Concept-Exploit (PoC) veröffentlicht hat. Die Schwachstelle mit der Kennung CVE-2026-55040 und einem CVSS-Score von 9,1 erlaubt es einem nicht authentifizierten Angreifer, JSON-Web-Token (JWTs) zu fälschen und sich als beliebiger SharePoint-Benutzer – einschließlich Site-Administratoren – auszugeben, ohne ein Passwort oder eine gültige Sitzung zu benötigen .

Microsoft hat die Schwachstelle im Rahmen des Patch-Dienstags vom 14. Juli 2026 behoben. Betroffen sind SharePoint Server Subscription Edition, 2019 und 2016 Enterprise . Da jedoch laut internetweiten Scans noch über 8.500 SharePoint-Server direkt im Netz erreichbar sind, ist das Zeitfenster für Angreifer weiterhin groß .

Wie CVE-2026-55040 funktioniert: Ein JWT-Validierungsfehler

Die Ursache ist eine schwache Authentifizierung (CWE-1390) in der JWT-Validierungspipeline von SharePoint. Laut Rapid7, das den Fehler entdeckte, liegt die Schwachstelle in mehreren unterschiedlichen Schwachstellen in den SharePoint-Klassen SPJsonWebSecurityTokenHandlerV2 und SPJsonWebSecurityBaseTokenHandlerV2, die Bearer-Tokens für die Dienst-zu-Dienst-Kommunikation parsen . Ein Angreifer kann ein manipuliertes JWT senden, dem der Server ohne ordnungsgemäße kryptografische Prüfung vertraut, und so die Identität eines beliebigen SharePoint-Benutzers oder Farm-Administrators annehmen .

Microsoft beschrieb den Fehler knapp: „Das Authentifizierungsmerkmal konnte umgangen werden, da diese Sicherheitslücke Identitätsdiebstahl ermöglicht“ . Ein erfolgreicher Angriff erlaubt es, Dateien offenzulegen und Daten zu manipulieren, jedoch laut Microsoft nicht, die Systemverfügbarkeit zu beeinträchtigen .

Offenlegung und Waffeneinsatz im Zeitverlauf

• 14. Juli 2026: Microsoft und Rapid7 melden CVE-2026-55040 und stellen Patches bereit .
• 10. August 2026: Rapid7 veröffentlicht eine detaillierte technische Analyse der Schwachstelle .
• 12. August 2026: Rapid7 veröffentlicht einen öffentlichen PoC-Exploit als Python-Skript .
• Innerhalb weniger Tage nach dem 12. August: Angreifer beginnen, den Exploit aktiv im Internet einzusetzen .

Rapid7-Forscher Stephen Fewer entdeckte den Fehler. Es handelt sich um die erste von zwei Schwachstellen, die in Kombination mit einer zweiten (noch nicht veröffentlichten) Lücke eine nicht authentifizierte Remotecodeausführung (RCE) auf verwundbaren SharePoint-Servern ermöglicht .

Maßnahmen zur Schadensbegrenzung (CISA & BSI)

CISA hat am 14.–15. Juli 2026 dringende Härtungsempfehlungen herausgegeben und diese mit der Eskalation der Angriffe aktualisiert . Unternehmen, die lokale SharePoint-Instanzen betreiben, sollten umgehend folgende Schritte einleiten:

• Installieren Sie die Juli-2026-Kumulativupdates auf allen SharePoint-Servern der Farm. Überprüfen Sie die erfolgreiche Installation mit dem SharePoint Products Configuration Wizard oder per PowerShell – ein reines Windows-Update garantiert nicht die vollständige Aktualisierung . Konkrete Updates: KB 5002891/KB 5002892 für SharePoint 2016 sowie KB 5002883 für SharePoint 2019 .
• Setzen Sie SharePoint-Server nicht direkt dem Internet aus. Ist ein Internetzugriff erforderlich, platzieren Sie den Server hinter einem Layer-7-Reverse-Proxy oder einer gleichwertigen Sicherheitslösung auf Anwendungsebene, die die Authentifizierung erzwingt und Anfragen prüft .
• Blockieren Sie den externen Zugriff auf die SharePoint-Zentralverwaltung – diese administrative Oberfläche darf niemals aus dem Internet erreichbar sein .
• Aktivieren und überprüfen Sie die AMSI-Integration (Antimalware Scan Interface) für jede SharePoint-Webanwendung .
• Rotieren Sie die IIS-Maschinen-Schlüssel, falls Hinweise auf eine Kompromittierung vorliegen, und prüfen Sie Protokolle auf Eindringlingsspuren, bevor Sie gestohlene Schlüssel ersetzen .
• Richten Sie eine gezielte Protokollierung und Überwachung ein, um anomale Authentifizierungsmuster zu erkennen, und prüfen Sie die Authentifizierungs- und Berechtigungsprotokolle für den Zeitraum vor der Patch-Installation .

Weiter gefasster Angriffskontext: Drei weitere CVEs unter Beschuss

CVE-2026-55040 ist kein Einzelfall. Am selben Tag, an dem die Patches ausgeliefert wurden, bestätigte CISA die aktive Ausnutzung von drei weiteren SharePoint-Sicherheitslücken :

• CVE-2026-32201 (CVSS 6.5) – Eine Spoofing-Sicherheitslücke aufgrund fehlerhafter Eingabevalidierung, die seit mindestens April 2026 ausgenutzt wird .
• CVE-2026-45659 (CVSS 8.8) – Remotecodeausführung durch Deserialisierung nicht vertrauenswürdiger Daten. Seit dem 11. August 2026 bestätigt CISA, dass Erpressungsbanden diese Lücke für Ransomware-Angriffe missbrauchen .
• CVE-2026-56164 (CVSS 5.3, aber remote ohne Authentifizierung ausnutzbar) – Eine Schwachstelle zur Rechteausweitung, die in Angriffen verkettet wird, um IIS-Maschinen-Schlüssel zu stehlen und dauerhaften Zugriff zu erlangen .

Angreifer verketten diese Schwachstellen: CVE-2026-32201 für den ersten Zugang, CVE-2026-45659 oder CVE-2026-56164 für die Codeausführung und CVE-2026-55040 als Multiplikator für die Authentifizierungsumgehung . Die koordinierte Angriffswelle wird von einigen Forschern als „SharePoint-Kette“ bezeichnet .