{"id":48877,"date":"2026-08-13T22:19:50","date_gmt":"2026-08-13T20:19:50","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=48877"},"modified":"2026-08-13T22:19:50","modified_gmt":"2026-08-13T20:19:50","slug":"sharepoint-cve-2026-55040-luecke","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/sharepoint-cve-2026-55040-luecke\/","title":{"rendered":"Angreifer nutzen SharePoint-L\u00fccke nach \u00f6ffentlichem PoC aus"},"content":{"rendered":"

Angreifer nutzen eine kritische Sicherheitsl\u00fccke in Microsoft SharePoint<\/a> aus, nachdem ein \u00f6ffentlicher Proof-of-Concept (PoC)-Code ver\u00f6ffentlicht wurde. Die Schwachstelle mit der Kennung CVE-2026-55040<\/strong> (CVSS-Score: 9.1) erm\u00f6glicht die Umgehung der Authentifizierung und stellt ein massives Risiko f\u00fcr Unternehmen dar, die SharePoint in ihrer Infrastruktur einsetzen. Microsoft schloss die L\u00fccke bereits im Juli 2026<\/a> mit den Patch-Tuesday-Updates, doch die j\u00fcngste Ver\u00f6ffentlichung eines funktionierenden Exploit-Codes durch Rapid7<\/a> hat die Bedrohungslage drastisch versch\u00e4rft.<\/p>\n

Technische Analyse der JWT-Impersonation<\/h2>\n

Die Schwachstelle CVE-2026-55040 beruht auf einer fehlerhaften Implementierung der JWT-Token-Validierung im Authentifizierungsmechanismus von SharePoint. Konkret erm\u00f6glichst es einem nicht authentifizierten Angreifer, mehrere Schwachstellen in der Token-Verarbeitungskette auszunutzen, um sich als beliebiger Benutzer oder Administrator auszugeben. Die Probleme liegen in den beiden Klassen SPJsonWebSecurityTokenHandlerV2<\/strong> und SPJsonWebSecurityBaseTokenHandlerV2<\/strong>, die f\u00fcr das Parsen und die Validierung von Bearer-Service-to-Service (S2S)-Tokens zust\u00e4ndig sind und dabei die Integrit\u00e4tspr\u00fcfung des Tokens nicht korrekt durchf\u00fchren.<\/p>\n

Die vier Stufen des Angriffs<\/h3>\n

Die Exploit-Kette kombiniert vier distinkte Schwachstellen, um eine vollst\u00e4ndige Authentifizierungsumgehung zu erreichen. Der Angriff erfolgt in einer pr\u00e4zisen Abfolge, die die Token-Validierungsschichten von SharePoint systematisch untergr\u00e4bt:<\/p>\n

    \n
  1. Algorithmus-Manipulation:<\/strong> Der Angreifer sendet ein JWT mit dem Header-Wert „alg: none“. Dies veranlasst die Bibliothek, auf eine Signaturpr\u00fcfung im \u00e4u\u00dferen Token zu verzichten.<\/li>\n
  2. Fehlerhafte Schl\u00fcsselaufl\u00f6sung:<\/strong> Das x5t-Feld im Actor-Token enth\u00e4lt den Fingerabdruck des eigenen STS-Zertifikats von SharePoint. Dies erm\u00f6glicht dem Angreifer, einen Signaturschl\u00fcssel zu referenzieren, ohne dass die Signatur tats\u00e4chlich verifiziert wird.<\/li>\n
  3. Fehlende Ausstellerpr\u00fcfung:<\/strong> Das aufgel\u00f6ste Zertifikat befindet sich nicht in der Liste der vertrauensw\u00fcrdigen Tokenaussteller (TrustedSecurityTokenServices). Aufgrund des Validierungsfehlers wird der Aussteller dennoch akzeptiert.<\/li>\n
  4. Fehlende Signaturverifikation:<\/strong> Die Signatur des Actor-Tokens besteht lediglich aus einem nicht-leeren Wert, etwa „AAAA“. Dieser Wert wird niemals kryptografisch \u00fcberpr\u00fcft, sodass die gesamte Token-Impersonation erfolgreich ist.<\/li>\n<\/ol>\n

    Wann wurde die Schwachstelle entdeckt und wer ist betroffen?<\/h2>\n

    Microsoft adressierte CVE-2026-55040 am 14. Juli 2026 im Rahmen des regul\u00e4ren Patch-Zyklus. Das Unternehmen beschrieb den Fehler damals als Umgehung der Authentifizierungsfunktion, die einem Angreifer das Lesen und Ver\u00e4ndern von Daten erm\u00f6glicht, ohne jedoch die Verf\u00fcgbarkeit des Systems zu beeintr\u00e4chtigen. Rapid7 ver\u00f6ffentlichte den detaillierten technischen Bericht und den begleitenden PoC-Code in der darauffolgenden Woche auf ihrer Plattform und auf GitHub. Seit dem 19. Juli 2026 verzeichnet die Telemetrieplattform KEVIntel insgesamt zw\u00f6lf Exploit-Versuche, von denen allein acht auf den 12. und 13. August 2026<\/a> entfallen. Diese zeitliche Konzentration zeigt den direkten kausalen Zusammenhang zwischen der PoC-Ver\u00f6ffentlichung und der Zunahme der Angriffsaktivit\u00e4ten.<\/p>\n

    Geografische Herkunft und Zielsetzung der Angreifer<\/h2>\n

    Die bisher dokumentierten Exploit-Versuche stammen von acht eindeutigen IP-Adressen aus insgesamt f\u00fcnf L\u00e4ndern. Darunter befinden sich Hongkong, Japan, die Niederlande, Taiwan und die Vereinigten Staaten. Auff\u00e4llig ist die Streuung der Herkunftsregionen \u00fcber zwei Kontinente, was auf eine koordinierte oder mehrere unabh\u00e4ngige Gruppen hindeutet. Die genauen Motive der Angreifer sind zum aktuellen Zeitpunkt noch unklar. Die Telemetriedaten zeigen jedoch, dass die Angriffe prim\u00e4r auf die Umgehung der Authentifizierung abzielen, um anschlie\u00dfend Dateien auszulesen oder zu manipulieren. Eine Beeintr\u00e4chtigung der Systemverf\u00fcgbarkeit durch Denial-of-Service-Angriffe wurde in den beobachteten F\u00e4llen nicht festgestellt.<\/p>\n

    Kontext: F\u00fcnfte SharePoint-L\u00fccke des Jahres<\/h3>\n

    CVE-2026-55040 ist bereits die f\u00fcnfte SharePoint-Sicherheitsl\u00fccke, die im Jahr 2026 aktiv ausgenutzt wird. Vorangegangen sind die Schwachstellen CVE-2026-45659, CVE-2026-56164, CVE-2026-58644 sowie CVE-2026-50522. Diese Serie unterstreicht die anhaltende Aufmerksamkeit, die Angreifer der weit verbreiteten Kollaborationsplattform widmen. Die Angriffsmuster zeigen deutlich, dass Unternehmen nicht nur auf die regelm\u00e4\u00dfigen Updates von Microsoft angewiesen sind, sondern auch die Ver\u00f6ffentlichung von PoC-Codes durch Sicherheitsforscher und kommerzielle Security-Dienstleister als akute Warnung f\u00fcr unverz\u00fcgliche Patches betrachten m\u00fcssen.<\/p>\n

    Empfehlungen f\u00fcr betroffene SharePoint-Administratoren<\/h2>\n

    Die Situation demonstriert, wie schnell eine theoretische Schwachstelle durch die Ver\u00f6ffentlichung eines funktionierenden Exploits zu einer praktischen Bedrohung wird. Der Python-basierte PoC von Rapid7 automatisiert die Schritte zur Token-F\u00e4lschung und erm\u00f6glicht es, gezielt die Sicherheitsidentifikatoren (SIDs) von Benutzern zu enumerieren und sich Administratorrechte zu verschaffen. Systemadministratoren m\u00fcssen daher zweigleisig handeln: Die sofortige Installation des Sicherheitsupdates aus Juli 2026 hat h\u00f6chste Priorit\u00e4t, da alle \u00e4lteren Versionen der SharePoint-Software verwundbar sind. Parallel dazu sollten die Authentifizierungslogs auf ungew\u00f6hnliche JWT-Tokens, fehlgeschlagene Signaturpr\u00fcfungen oder unautorisierte Zugriffe auf Benutzerverzeichnisse \u00fcberwacht werden. Da der Exploit die Interaktion mit dem Domain-Controller erfordert, k\u00f6nnen Anomalien in den LDAP- oder Kerberos-Logs ebenfalls auf Kompromittierungsversuche hindeuten.<\/p>\n

    Die durchschnittliche Zeitspanne zwischen der Ver\u00f6ffentlichung eines Sicherheitsupdates und der ersten Massenausnutzung sinkt stetig. F\u00fcr SharePoint, das in zahlreichen Unternehmen als zentrale Dokumenten- und Zusammenarbeitsplattform dient, wird die L\u00fccke zwischen Patch-Ver\u00f6ffentlichung und fl\u00e4chendeckender Installation zu einem immer kritischeren Sicherheitsfaktor. Organisationen, die ihre SharePoint-Instanzen noch nicht aktualisiert haben, m\u00fcssen mit unmittelbaren Kompromittierungen rechnen. Die beobachteten Angriffe aus Asien, Europa und Nordamerika zeigen zudem, dass keine Region von den gezielten Exploit-Versuchen ausgenommen ist. Die kommenden Wochen werden entscheidend daf\u00fcr sein, ob sich CVE-2026-55040 zu einer weitverbreiteten Bedrohung entwickelt oder durch zeitnahe Patches einged\u00e4mmt werden kann.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Angreifer nutzen eine kritische Sicherheitsl\u00fccke in Microsoft SharePoint aus, nachdem ein \u00f6ffentlicher Proof-of-Concept (PoC)-Code ver\u00f6ffentlicht wurde. Die Schwachstelle mit der Kennung CVE-2026-55040 (CVSS-Score: 9.1) erm\u00f6glicht die Umgehung der Authentifizierung und stellt ein massives Risiko f\u00fcr Unternehmen dar, die SharePoint in ihrer Infrastruktur einsetzen. Microsoft schloss die L\u00fccke bereits im Juli 2026 mit den Patch-Tuesday-Updates, doch […]<\/p>\n","protected":false},"author":5,"featured_media":48881,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/raw.githubusercontent.com\/medeiroslima\/overcentral-images\/main\/images\/ocie_1786652400520.jpg","fifu_image_alt":"Angreifer nutzen SharePoint-L\u00fccke nach \u00f6ffentlichem PoC aus","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-48877","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/raw.githubusercontent.com\/medeiroslima\/overcentral-images\/main\/images\/ocie_1786652400520.jpg","fifu_image_alt":"Angreifer nutzen SharePoint-L\u00fccke nach \u00f6ffentlichem PoC aus","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48877","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=48877"}],"version-history":[{"count":3,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48877\/revisions"}],"predecessor-version":[{"id":48880,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48877\/revisions\/48880"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/48881"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=48877"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=48877"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=48877"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}