Angreifer haben begonnen, eine Kette aus zwei Schwachstellen in Microsoft SharePoint zu testen, die ihnen die Möglichkeit geben kann, auf ungesicherten Servern Code aus der Ferne auszuführen, berichtet das Threat-Intelligence-Unternehmen Defused. Dies geschieht, nachdem Proof-of-Concept-Software (PoC) für die beiden Schwachstellen veröffentlicht wurde, wodurch die technischen Hürden für Ausnutzungsversuche gesenkt wurden.
Wie funktioniert die Kette?
Die erste Schwachstelle, CVE-2026-55040, ist ein Fehler zur Umgehung der Authentifizierung im Pfad zur Überprüfung von JWT-Tokens in SharePoint. Ein Angreifer ohne Berechtigungen kann sie ausnutzen, um Vorgänge im Namen eines Benutzers oder Administrators auf einer SharePoint-Website auszuführen.
Die zweite Schwachstelle, CVE-2026-63520, befindet sich im Business Connectivity Services (BCS). Nachdem der Angreifer die Schwachstelle zur Umgehung der Authentifizierung erfolgreich ausgenutzt hat, kann er die zweite Schwachstelle verwenden, um Code aus der Ferne auf dem Ziel-SharePoint-Server auszuführen.
Der Sicherheitsforscher Stephen Fewer von Rapid7 veröffentlichte die Proof-of-Concept-Software für den ersten Teil der Kette am 11. August, während der Forscher Jonathan Peterson von VulnCheck die Software für die zweite Schwachstelle am 24. August veröffentlichte. Einen Tag nach der Veröffentlichung des PoC für CVE-2026-55040 erklärte Defused, der Code werde bereits tatsächlich bei Angriffen eingesetzt.
Was wurde bislang beobachtet?
Am 25. August berichtete Defused, in seinen Honeypots Versuche beobachtet zu haben, die beide Schwachstellen kombinierten. Zu den Indikatoren gehörten die Verwendung der JWT-Umgehung, gefolgt von umfangreichen Aktivitäten zur Erkundung von Administratorkonten und zur Untersuchung des mit der zweiten Schwachstelle verbundenen Business Data Catalog. Das Unternehmen erklärte jedoch, bis zur Veröffentlichung seiner Warnung keine Codeausführung beobachtet zu haben.
Die gemeinnützige Internetsicherheitsorganisation Shadowserver verfolgt mehr als 8.700 offengelegte Microsoft-SharePoint-Server im Internet. Die verfügbaren Daten geben weder Aufschluss darüber, wie viele dieser Systeme Honeypots sind, noch darüber, wie viele Server bereits gesichert wurden.
Warnungen der Sicherheitsbehörden
Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) wies Bundesbehörden und Netzwerkverteidiger am 18. August an, SharePoint-Server gegen laufende Angriffe zu sichern, bei denen CVE-2026-55040 ausgenutzt wird. Am 15. Juli warnte die Behörde außerdem vor der Ausnutzung dreier weiterer Schwachstellen – CVE-2026-32201, CVE-2026-45659 und CVE-2026-56164 – gegen exponierte lokale SharePoint-Server, die über das Internet erreichbar sind.
CISA bestätigte außerdem, dass die Schwachstelle zur Ausführung von Code aus der Ferne CVE-2026-45659, von der seit Anfang Juli bekannt ist, dass sie tatsächlich ausgenutzt wird, nun bei Angriffen im Zusammenhang mit Ransomware eingesetzt wird. Seit November 2021 hat die Behörde 15 aktiv ausgenutzte Schwachstellen in Microsoft SharePoint in ihre Liste aufgenommen; acht davon wurden ebenfalls mit Ransomware-Banden in Verbindung gebracht.
Warum ist diese Nachricht wichtig?
Die Bedeutung der Entwicklung liegt darin, dass die Kette nicht nur auf einer einzelnen Schwachstelle zur Ausführung von Code aus der Ferne beruht, sondern mit der Umgehung der Authentifizierung beginnt und anschließend zu einer Komponente übergeht, die einen Ausführungspfad bereitstellt. Praktisch bedeutet dies, dass Administratoren exponierter Server beide Schwachstellen gemeinsam behandeln und Anmeldeversuche, die Erkundung von Administratorkonten sowie Aktivitäten des Business Data Catalog überprüfen müssen.
CISA empfiehlt Sicherheitsteams, die offiziellen Richtlinien von Microsoft zur Absicherung von SharePoint zu prüfen und eine direkte Veröffentlichung von SharePoint-Servern im Internet zu vermeiden, sofern dies nicht erforderlich ist. Es bleiben jedoch ungeklärte Punkte: Microsoft stufte CVE-2026-63520 als attraktives Ziel für Angreifer ein, hat sie jedoch noch nicht als tatsächlich ausgenutzt klassifiziert. Außerdem hat Defused bislang keine Befehlsausführung in seinen Honeypots beobachtet.