Angreifer nutzen eine kritische Sicherheitslücke in Microsoft SharePoint aus, nachdem ein öffentlicher Proof-of-Concept (PoC)-Code veröffentlicht wurde. Die Schwachstelle mit der Kennung CVE-2026-55040 (CVSS-Score: 9.1) ermöglicht die Umgehung der Authentifizierung und stellt ein massives Risiko für Unternehmen dar, die SharePoint in ihrer Infrastruktur einsetzen. Microsoft schloss die Lücke bereits im Juli 2026 mit den Patch-Tuesday-Updates, doch die jüngste Veröffentlichung eines funktionierenden Exploit-Codes durch Rapid7 hat die Bedrohungslage drastisch verschärft.
Technische Analyse der JWT-Impersonation
Die Schwachstelle CVE-2026-55040 beruht auf einer fehlerhaften Implementierung der JWT-Token-Validierung im Authentifizierungsmechanismus von SharePoint. Konkret ermöglichst es einem nicht authentifizierten Angreifer, mehrere Schwachstellen in der Token-Verarbeitungskette auszunutzen, um sich als beliebiger Benutzer oder Administrator auszugeben. Die Probleme liegen in den beiden Klassen SPJsonWebSecurityTokenHandlerV2 und SPJsonWebSecurityBaseTokenHandlerV2, die für das Parsen und die Validierung von Bearer-Service-to-Service (S2S)-Tokens zuständig sind und dabei die Integritätsprüfung des Tokens nicht korrekt durchführen.
Die vier Stufen des Angriffs
Die Exploit-Kette kombiniert vier distinkte Schwachstellen, um eine vollständige Authentifizierungsumgehung zu erreichen. Der Angriff erfolgt in einer präzisen Abfolge, die die Token-Validierungsschichten von SharePoint systematisch untergräbt:
- Algorithmus-Manipulation: Der Angreifer sendet ein JWT mit dem Header-Wert „alg: none“. Dies veranlasst die Bibliothek, auf eine Signaturprüfung im äußeren Token zu verzichten.
- Fehlerhafte Schlüsselauflösung: Das x5t-Feld im Actor-Token enthält den Fingerabdruck des eigenen STS-Zertifikats von SharePoint. Dies ermöglicht dem Angreifer, einen Signaturschlüssel zu referenzieren, ohne dass die Signatur tatsächlich verifiziert wird.
- Fehlende Ausstellerprüfung: Das aufgelöste Zertifikat befindet sich nicht in der Liste der vertrauenswürdigen Tokenaussteller (TrustedSecurityTokenServices). Aufgrund des Validierungsfehlers wird der Aussteller dennoch akzeptiert.
- Fehlende Signaturverifikation: Die Signatur des Actor-Tokens besteht lediglich aus einem nicht-leeren Wert, etwa „AAAA“. Dieser Wert wird niemals kryptografisch überprüft, sodass die gesamte Token-Impersonation erfolgreich ist.
Wann wurde die Schwachstelle entdeckt und wer ist betroffen?
Microsoft adressierte CVE-2026-55040 am 14. Juli 2026 im Rahmen des regulären Patch-Zyklus. Das Unternehmen beschrieb den Fehler damals als Umgehung der Authentifizierungsfunktion, die einem Angreifer das Lesen und Verändern von Daten ermöglicht, ohne jedoch die Verfügbarkeit des Systems zu beeinträchtigen. Rapid7 veröffentlichte den detaillierten technischen Bericht und den begleitenden PoC-Code in der darauffolgenden Woche auf ihrer Plattform und auf GitHub. Seit dem 19. Juli 2026 verzeichnet die Telemetrieplattform KEVIntel insgesamt zwölf Exploit-Versuche, von denen allein acht auf den 12. und 13. August 2026 entfallen. Diese zeitliche Konzentration zeigt den direkten kausalen Zusammenhang zwischen der PoC-Veröffentlichung und der Zunahme der Angriffsaktivitäten.
Geografische Herkunft und Zielsetzung der Angreifer
Die bisher dokumentierten Exploit-Versuche stammen von acht eindeutigen IP-Adressen aus insgesamt fünf Ländern. Darunter befinden sich Hongkong, Japan, die Niederlande, Taiwan und die Vereinigten Staaten. Auffällig ist die Streuung der Herkunftsregionen über zwei Kontinente, was auf eine koordinierte oder mehrere unabhängige Gruppen hindeutet. Die genauen Motive der Angreifer sind zum aktuellen Zeitpunkt noch unklar. Die Telemetriedaten zeigen jedoch, dass die Angriffe primär auf die Umgehung der Authentifizierung abzielen, um anschließend Dateien auszulesen oder zu manipulieren. Eine Beeinträchtigung der Systemverfügbarkeit durch Denial-of-Service-Angriffe wurde in den beobachteten Fällen nicht festgestellt.
Kontext: Fünfte SharePoint-Lücke des Jahres
CVE-2026-55040 ist bereits die fünfte SharePoint-Sicherheitslücke, die im Jahr 2026 aktiv ausgenutzt wird. Vorangegangen sind die Schwachstellen CVE-2026-45659, CVE-2026-56164, CVE-2026-58644 sowie CVE-2026-50522. Diese Serie unterstreicht die anhaltende Aufmerksamkeit, die Angreifer der weit verbreiteten Kollaborationsplattform widmen. Die Angriffsmuster zeigen deutlich, dass Unternehmen nicht nur auf die regelmäßigen Updates von Microsoft angewiesen sind, sondern auch die Veröffentlichung von PoC-Codes durch Sicherheitsforscher und kommerzielle Security-Dienstleister als akute Warnung für unverzügliche Patches betrachten müssen.
Empfehlungen für betroffene SharePoint-Administratoren
Die Situation demonstriert, wie schnell eine theoretische Schwachstelle durch die Veröffentlichung eines funktionierenden Exploits zu einer praktischen Bedrohung wird. Der Python-basierte PoC von Rapid7 automatisiert die Schritte zur Token-Fälschung und ermöglicht es, gezielt die Sicherheitsidentifikatoren (SIDs) von Benutzern zu enumerieren und sich Administratorrechte zu verschaffen. Systemadministratoren müssen daher zweigleisig handeln: Die sofortige Installation des Sicherheitsupdates aus Juli 2026 hat höchste Priorität, da alle älteren Versionen der SharePoint-Software verwundbar sind. Parallel dazu sollten die Authentifizierungslogs auf ungewöhnliche JWT-Tokens, fehlgeschlagene Signaturprüfungen oder unautorisierte Zugriffe auf Benutzerverzeichnisse überwacht werden. Da der Exploit die Interaktion mit dem Domain-Controller erfordert, können Anomalien in den LDAP- oder Kerberos-Logs ebenfalls auf Kompromittierungsversuche hindeuten.
Die durchschnittliche Zeitspanne zwischen der Veröffentlichung eines Sicherheitsupdates und der ersten Massenausnutzung sinkt stetig. Für SharePoint, das in zahlreichen Unternehmen als zentrale Dokumenten- und Zusammenarbeitsplattform dient, wird die Lücke zwischen Patch-Veröffentlichung und flächendeckender Installation zu einem immer kritischeren Sicherheitsfaktor. Organisationen, die ihre SharePoint-Instanzen noch nicht aktualisiert haben, müssen mit unmittelbaren Kompromittierungen rechnen. Die beobachteten Angriffe aus Asien, Europa und Nordamerika zeigen zudem, dass keine Region von den gezielten Exploit-Versuchen ausgenommen ist. Die kommenden Wochen werden entscheidend dafür sein, ob sich CVE-2026-55040 zu einer weitverbreiteten Bedrohung entwickelt oder durch zeitnahe Patches eingedämmt werden kann.
