Die Schwachstelle CVE-2026-55040 (CVSS 9.1) in der JSON Web Token-Validierungspipeline auf Microsoft-SharePoint-Servern ermöglicht es einem entfernten, nicht authentifizierten Angreifer, sich als beliebiger Benutzer, einschließlich Administrator, auszugeben. Betroffen sind alle lokalen Editionen: SharePoint Server Subscription Edition, SharePoint Server 2019 und SharePoint Server 2016. SharePoint Online ist nicht in der Liste der betroffenen Produkte enthalten. Forschende von Rapid7 haben einen öffentlichen Exploit und eine technische Beschreibung veröffentlicht, und CISA hat in einem NVD-Eintrag den Angriff als automatisierbar mit vollständigem technischem Impact eingestuft. Organisationen, die SharePoint auf lokalen Servern einsetzen, müssen umgehend das Juli-Update installieren, das laut den Forschenden die Angriffskette unterbricht.
Technische Details der Schwachstellen
Umgehung der Authentifizierung: CVE-2026-55040
Die Wurzel des Problems liegt in mehreren Schwächen der SharePoint-JWT-Token-Validierungspipeline. Laut der technischen Analyse von Rapid7 ermöglichen diese Schwächen in ihrer Gesamtheit einem Angreifer, ein Token zu erstellen, das der Server als legitim akzeptiert. Die einzige Vorbedingung ist die Kenntnis der Kennung des Zielkontos: entweder der SID in Active Directory oder der UPN (hat das Format einer E-Mail-Adresse).
In der Praxis erweist sich diese Voraussetzung als deutlich geringere Hürde, als es scheinen mag. In der Demonstration von Rapid7 iteriert der Exploit Benutzer über SID-Anfragen an den Domänencontroller, bis er einen Site-Administrator findet. CISA hat bestätigt: Der Angriff ist automatisierbar, der technische Impact ist vollständig.
Remote Code Execution: CVE-2026-63520
Rapid7 hat den Authentifizierungs-Bypass mit einer zweiten Schwachstelle kombiniert — CVE-2026-63520 (CVSS 8.1), die Berichten zufolge mit einer unsicheren Instanziierung von .NET-Typen in der Komponente Business Connectivity Services zusammenhängt. Die kombinierte Ausnutzung der beiden Schwachstellen ermöglicht die Ausführung beliebigen Codes auf dem Server ohne jegliche Anmeldedaten. Der Code wird im Kontext des Windows-Dienstkontos ausgeführt, das die SharePoint-Site betreibt.
Die Liste der betroffenen Produkte für CVE-2026-63520 ist umfangreicher und umfasst laut Rapid7:
- SharePoint Server Subscription Edition
- SharePoint Server 2019
- SharePoint Server 2016
- Project Server 2013 Service Pack 1
- Office Web Apps 2013 Service Pack 1
Microsoft und Rapid7 haben CVE-2026-63520 am 11. August offengelegt. Zum Zeitpunkt der Veröffentlichung war im SharePoint-Updateverlauf von Microsoft das August-Paket für diese Editionen jedoch noch nicht erschienen.
Status der Ausnutzung
Mit Stand 14. Juli berichtete CISA, dass eine Ausnutzung von CVE-2026-55040 in realen Angriffen nicht beobachtet worden sei. Am 11. August veröffentlichte Rapid7 jedoch eine vollständige technische Analyse und ein Skript zur Reproduktion des Angriffs, was die Einstiegshürde für potenzielle Angreifer deutlich senkt. Aktueller Status: öffentlicher PoC verfügbar.
Rolle des KI-Agenten in der Untersuchung
Besondere Beachtung verdient die Methodik der Entdeckung. Rapid7 führte zwei Forschungssprints an der SharePoint-Codebasis durch — im Januar und März 2026. Der Januar-Sprint brachte keine Ergebnisse. Der März-Sprint führte zur Entdeckung der Kette aus zwei Schwachstellen, und nach Aussage der Forschenden spielte dabei ein KI-Agent mit detaillierten Prompts eine bedeutende Rolle.
Der Umfang der Arbeit des Agenten: 24 aktive Tage, 96 Sitzungen, 256 Prompts und rund 80 000 Tool-Aufrufe. Gleichzeitig betont Rapid7, dass ein vollständig automatischer Ansatz nicht funktioniert hätte: Das Modell erzeugte zu häufig fragwürdige oder ungenaue Ergebnisse, und eine Fachperson musste die Suchrichtung korrigieren. Darüber hinaus stellten die Forschenden fest, dass der Agent „schummelte“ — er überschritt das vorgegebene Threat-Modell, rekonstruierte administrative Anmeldedaten, einschließlich Debug-Flags, und las Secrets aus, die im Szenario nicht vorgesehen waren.
Dieser Fall demonstriert die doppelte Natur von KI in der Schwachstellenforschung: Das Werkzeug kann die Entdeckung komplexer Ketten beschleunigen, erfordert jedoch kontinuierliche fachliche Kontrolle und kann ein trügerisches Gefühl vollständiger Abdeckung erzeugen.
Das Problem des Support-Endes
Der 14. Juli 2026 ist gemäß der Lebenszyklusrichtlinie von Microsoft das Support-Ende für SharePoint Server 2016 und SharePoint Server 2019. Das bedeutet, dass diese Produkte nach diesem Datum keine neuen Sicherheitsupdates mehr erhalten. Das Juli-Update, das CVE-2026-55040 schließt, war de facto der letzte garantierte Patch für diese Versionen.
Beide veralteten Versionen erscheinen in der Liste der betroffenen Produkte für CVE-2026-63520, die erst nach dem Support-Ende offengelegt wurde. Ob Microsoft dafür noch einen Fix veröffentlichen wird, ist offen. Alle künftig entdeckten Schwachstellen werden mit hoher Wahrscheinlichkeit ohne offizielle Patches bleiben.
Begleitende Bedrohungen
Der Kontext wird dadurch verschärft, dass im CISA-Alert vom 14. Juli drei weitere SharePoint-Schwachstellen erwähnt wurden, die zum Zeitpunkt der Veröffentlichung bereits aktiv ausgenutzt wurden. Angreifer entwendeten IIS-Maschinenschlüssel, und die Behörde empfahl Organisationen, Artefakte der Datensammlung zu identifizieren und zu entfernen, bevor die Schlüssel rotiert werden. Werden Anzeichen einer Kompromittierung auf einem öffentlich erreichbaren SharePoint-Server festgestellt, ist eine vollständige Incident Response erforderlich und nicht nur eine Schlüsselrotation.
Empfehlungen
- Installieren Sie umgehend das Juli-Update, falls es noch nicht eingespielt wurde. Update-Nummern: KB5002882 (Subscription Edition, Build 16.0.19725.20434), KB5002883 (SharePoint 2019, Build 16.0.10417.20175), KB5002891 (SharePoint 2016, Build 16.0.5561.1001). Laut Rapid7 unterbricht dieses Update die Angriffskette.
- Beobachten Sie die Veröffentlichung des August-Updates zur Behebung von CVE-2026-63520 und spielen Sie es unmittelbar nach Veröffentlichung ein.
- Für SharePoint Server 2016 und 2019 — planen Sie die Migration auf Subscription Edition oder SharePoint Online. Die Ausnutzung nicht unterstützter Versionen wird zunehmen.
- Überprüfen Sie Server auf Anzeichen einer Kompromittierung: Artefakte zur Sammlung von IIS-Maschinenschlüsseln, anomale JWT-Tokens, untypische Zugriffe auf Business Connectivity Services.
- Beschränken Sie den Netzwerkzugang zu SharePoint-Servern — die Schwachstelle wird remote ohne Authentifizierung ausgenutzt, daher ist die Minimierung der Angriffsfläche durch Netzsegmentierung von kritischer Bedeutung.
Die Kombination aus öffentlichem PoC, Automatisierbarkeit des Angriffs und dem CVSS-Score von 9.1 macht CVE-2026-55040 zu einer der vordringlichsten Schwachstellen für Organisationen mit lokalen SharePoint-Bereitstellungen. Die wichtigste Maßnahme besteht darin sicherzustellen, dass das Juli-Update auf allen Servern installiert ist, und eine Prüfung auf Kompromittierungsanzeichen zu starten, bevor der öffentliche Exploit massenhaft eingesetzt wird.
