SharePoint-Lücke CVE-2026-55040: Kritischer Authentifizierungs-Bypass aktiv ausgenutzt
Veröffentlicht am: 13.08.2026 um 14:23 Uhr | Redaktion boerse-global.de
Cyberkriminelle nutzen derzeit eine kritische Schwachstelle in Microsoft SharePoint aktiv aus, um Sicherheitsvorkehrungen zu umgehen. Die als CVE-2026-55040 identifizierte Lücke ermöglicht einen sogenannten Authentifizierungs-Bypass und erfordert von Administratoren umgehende Schutzmaßnahmen, um Unternehmensnetzwerke abzusichern.
Eskalation nach Veröffentlichung von Machbarkeitsnachweis
Die Schwachstelle weist einen CVSS-Score von 9.1 auf, was ihre hohe Kritikalität unterstreicht. Betroffen sind die Versionen SharePoint Server 2016 und 2019 sowie die Subscription Edition. Microsoft hatte zwar bereits im Juli 2026 ein entsprechendes Sicherheitsupdate bereitgestellt, doch die Bedrohungslage hat sich in den vergangenen Tagen deutlich verschärft.
Auslöser für die aktuelle Welle an Angriffen war die Bereitstellung eines technischen Machbarkeitsnachweises (Proof-of-Concept, PoC). Experten von Rapid7 veröffentlichten diesen am 11. August 2026. In der Folge wurden erste Versuche, die Schwachstelle auszunutzen, bereits innerhalb von weniger als 24 Stunden beobachtet. Telemetriedaten von KEVIntel verzeichneten seit dem 19. Juli 2026 insgesamt 12 Exploit-Versuche, wobei der Großteil davon – konkret acht Vorfälle – auf den 12. und 13. August entfiel.
Globale Angriffsaktivitäten und exponierte Systeme
Angriffe auf Schwachstellen wie in SharePoint zeigen, wie wichtig ein proaktiver Schutz vor Cyberkriminalität für Unternehmen heute ist. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und aktuelle gesetzliche Anforderungen ohne hohe Investitionen erfüllen. IT-Sicherheit stärken und Gratis-E-Book sichern
Die beobachteten Angriffsaktivitäten sind geografisch weit gestreut. Meldungen über Exploit-Versuche stammen unter anderem aus Hongkong, Japan, den Niederlanden, Taiwan und den USA. Zudem registrierten Sicherheitsforscher am 12. August Zugriffe auf Honeypots, die gezielt zur Identifizierung solcher Aktivitäten eingesetzt werden. Laut Analysen von Shadowserver sind derzeit weltweit noch über 8.500 SharePoint-Server über das Internet erreichbar und damit potenziell gefährdet, sofern die bereitgestellten Updates nicht eingespielt wurden.
Ein besonderes Risiko besteht in der potenziellen Kombination verschiedener Sicherheitslücken. CVE-2026-55040 lässt sich mit einer weiteren Schwachstelle, CVE-2026-63520, verknüpfen. Diese ermöglicht die Ausführung von Schadcode aus der Ferne (Remote Code Execution, RCE). Durch diese Verkettung könnten Angreifer ohne vorherige Anmeldung vollständigen Zugriff auf betroffene Systeme erhalten. Während für die RCE-Komponente, die im August 2026 gepatcht wurde, bisher keine aktive Ausnutzung bekannt ist, erhöht die Verknüpfbarkeit das Bedrohungspotenzial für ungepatchte Installationen massiv.
Wer sich mit der Absicherung kritischer Infrastrukturen befasst, muss auch die neuesten Methoden der Cyberkriminellen und rechtliche Pflichten kennen. Dieser kostenlose Report klärt auf, welche Bedrohungen aktuell auf Firmen zukommen und wie Sie sich proaktiv absichern. Kostenlosen Cyber-Security-Report jetzt herunterladen
Handlungsbedarf für Administratoren
Die Situation wird durch den Lebenszyklus der betroffenen Software erschwert. Der offizielle Support für SharePoint Server 2016 und 2019 endete bereits am 14. Juli 2026. Zwar hat Microsoft für die aktuellen kritischen Lücken noch Sicherheitskorrekturen veröffentlicht, doch die aktive Ausnutzung unterstreicht die Risiken veralteter Software-Infrastrukturen.
Sicherheitsexperten raten dringend dazu, den Patch-Status aller SharePoint-Instanzen umgehend zu überprüfen. Da die Schwachstelle trotz der beobachteten Angriffe noch nicht in der KEV-Liste der US-Behörde CISA geführt wird, sollten Unternehmen nicht auf eine offizielle Einstufung warten, sondern proaktiv handeln. Zu den empfohlenen Maßnahmen gehört neben dem Einspielen der Updates die Aktivierung des Antimalware Scan Interface (AMSI). Zudem sollte die Exposition der Server gegenüber dem öffentlichen Internet so weit wie möglich begrenzt werden, um die Angriffsfläche zu minimieren.
