CVE-2026-56164: Rechteausweitung in Microsoft SharePoint ohne Anmeldung

Microsoft hat die Ausnutzung der Rechteausweitungs-Schwachstelle CVE-2026-56164 in Microsoft SharePoint Server bestätigt, die mit fehlender Authentifizierung für eine geschäftskritische Funktion zusammenhängt und es einem entfernten, nicht autorisierten Angreifer ermöglicht, sich über das Netzwerk erweiterte Rechte zu verschaffen. Betroffen sind serverseitige SharePoint-Bereitstellungen, und das Risiko ist besonders hoch dort, wo SharePoint als zentrale Plattform für Dokumente, Workflows und Portale eingesetzt wird. Organisationen sollten mit höchster Priorität prüfen, ob zu dieser Schwachstelle Updates im Microsoft Security Update Guide vorliegen, und die unverzügliche Bereitstellung der Patches planen.

Technische Details der Schwachstelle CVE-2026-56164

Nach der Beschreibung im offiziellen Sicherheitshinweis von Microsoft zu CVE-2026-56164 wird das Problem dadurch verursacht, dass für eine der kritischen Funktionen in Microsoft SharePoint Server eine obligatorische Authentifizierungsprüfung fehlt. Das bedeutet:

• die verwundbare Funktionalität ist über das Netzwerk erreichbar;
• für ihren Aufruf ist weder ein gültiges Benutzerkonto noch ein Session-Token erforderlich;
• ein nicht autorisierter Angreifer kann diese Funktion nutzen, um eine Rechteausweitung zu erreichen.

Nach der Klassifizierung von Microsoft gehört die Schwachstelle zur Klasse Elevation of Privilege. Anders als bei Remote Code Execution liegt das Hauptrisiko hier nicht im Ausführen beliebigen Codes, sondern darin, dass ein Angreifer Rechte erlangen kann, die seine ursprünglichen Möglichkeiten deutlich übersteigen (in diesem Fall vollständig ohne Authentifizierung).

In der Schwachstellenkarte von Microsoft ist angegeben, dass:

• Typ: „Elevation of Privilege Vulnerability“;
• Ursache: „Missing authentication for critical function“;
• Ausnutzung: „Exploited: Yes“ — die Schwachstelle wird bereits in realen Angriffen ausgenutzt.

Ein zusätzlicher Eintrag zu dieser Schwachstelle ist in der NVD-Datenbank unter der üblichen Adresse CVE-2026-56164 auf der NVD-Website verfügbar. Zum Zeitpunkt der Erstellung dieser Analyse können die detaillierten technischen Parameter (einschließlich CVSS-Bewertung und Liste der konkreten Versionen) jedoch noch in der Befüllung und Synchronisierung mit den Daten des Herstellers begriffen sein.

Die wichtigsten technischen Schlussfolgerungen aus den derzeit verfügbaren Informationen:

• Angriffsvektor – Netzwerk: Dem Angreifer genügt die Netzwerk-Erreichbarkeit des SharePoint-Hosts; physischer Zugriff oder Zugriff auf das Host-Betriebssystem sind nicht erforderlich.
• Keine Voraussetzung einer vorherigen Kompromittierung eines Kontos: Das Problem liegt konkret in der „missing authentication“ und nicht in der Umgehung einer bestehenden Prüfung oder im Erraten eines Passworts.
• Der Übergang von „ohne Rechte“ zu „erweiterten Rechten“ erfolgt im Rahmen des SharePoint-Servers selbst: dies passt in das typische Angriffsmodell, in dem ein Netzwerkdienst dem Angreifer ein höheres Maß an Zugriff auf Daten und Funktionen der Anwendung verschafft, als vorgesehen.

Angesichts der Art des Fehlers (fehlende Authentifizierung) ist zu erwarten, dass sich die Ausnutzung darauf reduziert, eine speziell präparierte Anfrage an eine bestimmte Funktion bzw. einen bestimmten Endpunkt von SharePoint zu senden. Die Einstiegshürde für Angriffe ist in der Regel deutlich niedriger als bei komplexen Logik- oder Code-Injection-Schwachstellen, was das Risiko einer massenhaften Ausnutzung nach Veröffentlichung detaillierter Beispiele und Werkzeuge erhöht.

Bewertung der Auswirkungen auf die Organisation

SharePoint wird traditionell als zentrale Plattform genutzt für:

• Speicherung und gemeinsame Bearbeitung von Unternehmensdokumenten;
• Automatisierung von Geschäftsprozessen (Workflows, Aufgaben, Genehmigungen);
• Integration mit anderen Unternehmenssystemen (CRM, ERP, HR-Systeme);
• Intranet-Portale für Mitarbeitende und Partner.

Daraus ergeben sich mehrere Risikostufen bei einer Ausnutzung von CVE-2026-56164:

• Kompromittierung der Vertraulichkeit von Daten. Schon eine teilweise Rechteausweitung kann einem Angreifer Zugriff auf einen breiten Satz von Dokumenten verschaffen, darunter solche mit personenbezogenen Daten, Geschäftsgeheimnissen und regulierten Informationen.
• Beeinträchtigung der Integrität. Erweiterte Rechte in SharePoint ermöglichen das Ändern von Dokumenten, Listen, Websitekonfigurationen und Berechtigungen. Das schafft ein Risiko „leiser“ Datenmanipulationen, des Einschleusens bösartiger Makros in Office-Dokumente und der Veränderung von Freigabe-Workflows.
• Operative Störungen. Der Zugriff auf administrative Funktionen von SharePoint kann für massenhaftes Löschen oder Ändern von Inhalten genutzt werden, was Geschäftsprozesse lahmlegt und eine langwierige Wiederherstellung aus Backups erforderlich macht.

Besonders hervorzuheben ist der Unterschied der Risiken für:

• interne SharePoint-Bereitstellungen – Hauptvektor: Der Angreifer verfügt bereits über Netzwerkzugang zum internen Bereich oder erlangt ihn (über VPN, eine kompromittierte Workstation, ein Gästenetz); die Schwachstelle erleichtert den Übergang von einem „Fuß in der Tür“ zur Kontrolle über die Informationsumgebung;
• öffentlich erreichbare SharePoint-Portale – bei Veröffentlichung von Web-Sites ins Internet macht die fehlende Authentifizierung für eine kritische Funktion SharePoint zu einem potenziellen ersten Einstiegspunkt in die interne Infrastruktur der Organisation.

Da Microsoft ausdrücklich darauf hinweist, dass die Schwachstelle bereits ausgenutzt wird („Exploited: Yes“), ist von einer erhöhten Reaktionspriorität auszugehen, verglichen mit Schwachstellen derselben Klasse, für die bislang keine realen Angriffe festgestellt wurden. Selbst ohne öffentlich verfügbare technische Details können Angreifer, die Zugang zu Patches und Binärdateien haben, mittels Reverse Engineering die Art der Korrektur rekonstruieren und einen eigenen Exploit entwickeln.

Praktische Empfehlungen zur Reaktion

1. Schwachstellenmanagement und Patching

1. Rufen Sie den Eintrag CVE-2026-56164 im Microsoft Security Update Guide auf.
2. Ermitteln Sie, welche SharePoint-Server in Ihrer Infrastruktur vorhanden sind, und gleichen Sie deren Versionen mit der Liste der betroffenen Produkte im Sicherheitshinweis ab.
3. Planen Sie einen beschleunigten Zyklus zur Installation der Sicherheitsupdates für CVE-2026-56164 mit Vorrang vor den üblichen Wartungsfenstern:

• zuerst – Server, die aus dem Internet oder aus Zonen mit geringem Vertrauen erreichbar sind;
• anschließend – alle übrigen SharePoint-Server in internen Segmenten.

2. Temporäre Reduzierung der Exposition bis zur Installation der Patches

Für Organisationen, bei denen ein sofortiges Patching technisch erschwert ist, ist es sinnvoll, Übergangsmaßnahmen zu erwägen:

• Einschränkung der Netzwerk-Erreichbarkeit: Die Liste der Netze und Subnetze, aus denen HTTP(S)-Zugriff auf SharePoint möglich ist, so weit wie möglich einschränken; nach Möglichkeit direkten Zugriff aus externen Netzen bis zur Installation der Updates unterbinden.
• Stärkung der Kontrolle auf Ebene von Web-Gateways und WAF: Erweitertes Logging und Regeln aktivieren, die unbekannte oder nicht genutzte SharePoint-Endpunkte einschränken, insbesondere für nicht authentifizierte Anfragen.
• Minimierung anonymen Zugriffs: Vorhandene anonym zugängliche Sites und Verzeichnisse in der aktuellen Konfiguration überprüfen und diese vorübergehend auf das unbedingt erforderliche Minimum reduzieren.

3. Erkennung einer möglichen Ausnutzung

Da spezifische Kompromittierungsindikatoren für CVE-2026-56164 nicht veröffentlicht sind, ist es sinnvoll, sich auf allgemeine Anzeichen für die Ausnutzung von Schwachstellen der Klasse „missing authentication for critical function“ in SharePoint zu konzentrieren:

• Protokolle von IIS und SharePoint:
  • Suche nach massenhaften oder anomalen Anfragen von nicht authentifizierten Quellen an selten genutzte oder bislang nicht verwendete Pfade;
  • Korrelation der Zeitpunkte solcher Anfragen mit abrupten Änderungen im Volumen von Operationen (Erstellung von Sites, Änderung von Berechtigungen, massenhafter Download von Dokumenten).
• Anomalien bei Konten und Berechtigungen: Unerwartetes Auftreten neuer Gruppen, Delegation von Rechten auf Site-Sammlungen, Änderung von Site-Eigentümern.
• Verhalten der SharePoint-Servicekonten: Start untypischer Prozesse, Zugriff auf Dateiresourcen außerhalb der Standard-Content-Verzeichnisse kann auf den Versuch hinweisen, von der Kompromittierung der Anwendung zu einer weitergehenden Kontrolle über den Server überzugehen.

Selbst wenn keine eindeutigen Artefakte einer erfolgreichen Ausnutzung vorliegen, ist es hilfreich, einen „Baseline“-Stand der Zugriffsmetriken auf SharePoint (Verteilung der Anfragetypen, Anteil anonymer Zugriffe) vor und nach dem Patching zu erfassen, um spätere Abweichungsanalysen zu erleichtern.

4. Priorisierung und weitere Schritte

Unter Berücksichtigung des Status „Exploited: Yes“ und der fehlenden Authentifizierung für die betroffene Funktion wird folgende Reihenfolge empfohlen:

1. Innerhalb der nächsten 24 Stunden: Inventarisierung aller SharePoint-Instanzen und Bewertung ihrer Verwundbarkeit gegenüber CVE-2026-56164.
2. Innerhalb von 1–3 Tagen: Installation verfügbarer Sicherheitsupdates auf geschäftskritischen Servern und solchen mit hoher Netzwerkexposition.
3. Innerhalb von 1 Woche: Abschluss des Patchings der verbleibenden SharePoint-Server, grundlegende Prüfung der Protokolle auf verdächtige Aktivitäten im Zeitraum vor dem Update.
4. Nach Schließen der Schwachstelle: Überprüfung des Bereitstellungsmodells von SharePoint (externe/interne Erreichbarkeit, Netzsegmentierung, WAF) und Aufnahme von CVE-2026-56164 in das interne Register von Vorfällen und Lessons Learned, die die Richtlinie zum Schwachstellenmanagement beeinflusst haben.

Die zentrale Maßnahme für Organisationen, die Microsoft SharePoint Server einsetzen, besteht darin, ohne Verzögerung eine Inventarisierung der Server durchzuführen, deren Status mit dem Sicherheitshinweis zu CVE-2026-56164 abzugleichen und in kurzer Zeit die entsprechenden Updates auszurollen, während gleichzeitig die Überwachung nicht authentifizierter Zugriffe auf SharePoint bis zum Abschluss des Patchings verstärkt wird.