Exploit geleakt: Tausende Sharepoint-Server laufenden Angriffen ausgesetzt

Was geschehen ist – die Kernmeldung

In der IT-Sicherheitslandschaft herrscht derzeit akute Alarmbereitschaft für Administratoren, die Microsoft Sharepoint-Umgebungen betreuen. Wie am 13. August 2026 bekannt wurde, sind tausende Server weltweit Ziel einer aktuellen Angriffswelle geworden. Der Grund für die Gefährdung ist eine kritische Sicherheitslücke, die es Angreifern ermöglicht, die Authentifizierungsmechanismen des Systems zu umgehen und sich weitreichende Administrationsrechte zu verschaffen. Die Situation hat sich drastisch verschärft, nachdem Sicherheitsforscher der Firma Rapid7 am 11. August eine detaillierte Analyse sowie einen funktionierenden Proof-of-Concept-Exploit für die Schwachstelle veröffentlicht haben. Nur 24 Stunden später registrierten Forscher von Defused bereits erste gezielte Angriffsversuche auf ihre Honeypot-Systeme. Dies deutet darauf hin, dass Kriminelle den öffentlich zugänglichen Code unmittelbar für ihre Zwecke adaptiert haben, um verwundbare Sharepoint-Instanzen zu kompromittieren. Die Bedrohungslage ist als hoch einzustufen, da die Lücke bereits seit Juli bekannt ist, aber durch die nun erfolgte Veröffentlichung des Exploits die Hürde für Angreifer massiv gesunken ist. Administratoren sind daher dringend aufgefordert, ihre Systeme zu überprüfen und die bereitgestellten Sicherheitsupdates einzuspielen, um den Zugriff durch Unbefugte zu unterbinden.

Die Einzelheiten der Sicherheitslücke

Im Zentrum der aktuellen Bedrohung steht die Schwachstelle mit der Kennung CVE-2026-55040. Mit einem CVSS-Wert von 9,1 erreicht sie einen kritischen Schweregrad, was ihre Gefährlichkeit unterstreicht. Die technische Ursache liegt in einem Fehler innerhalb der JWT-Validierungspipeline (JSON Web Token) von Microsoft Sharepoint. Durch diesen Defekt können Angreifer die Authentifizierung vollständig umgehen. Nach einer erfolgreichen Ausnutzung der Lücke sind die Täter in der Lage, Aktionen auf den betroffenen Sharepoint-Instanzen entweder als normaler Site-User oder sogar mit vollen Administratorrechten auszuführen. Dies ermöglicht es den Angreifern, sensible Daten abzugreifen, zu manipulieren oder weitere schädliche Aktivitäten im Netzwerk durchzuführen. Betroffen sind laut den vorliegenden Informationen die Versionen Microsoft Sharepoint Server 2016, 2019 sowie die Subscription Edition (SE). Laut Daten der Shadowserver Foundation sind weltweit aktuell etwa 8.500 Sharepoint-Server direkt über das Internet erreichbar. Da bisher unklar bleibt, welcher Anteil dieser Server bereits mit den seit Juli verfügbaren Patches abgesichert wurde, ist von einer hohen Anzahl potenziell verwundbarer Systeme auszugehen, die nun im Fokus der Angreifer stehen.

Hintergrund und bisheriger Verlauf

Die Sicherheitslücke CVE-2026-55040 ist kein völlig neues Phänomen, sondern war bereits seit dem Juli-Patchday Microsofts bekannt. Schon damals hatte der Konzern die Schwachstelle als kritisch eingestuft und Updates veröffentlicht, um das Sicherheitsrisiko zu minimieren. Microsoft hatte bereits im Juli die Einschätzung geäußert, dass eine aktive Ausnutzung der Lücke durch Angreifer als „eher wahrscheinlich“ einzustufen sei. Diese Prognose stützte sich unter anderem auf die vergleichsweise geringe Komplexität, die für einen erfolgreichen Angriff notwendig ist. Trotz dieser Warnungen und der Verfügbarkeit der Patches scheint die Update-Rate in vielen IT-Umgebungen nicht ausreichend gewesen zu sein. Die nun beobachtete Eskalation – die Veröffentlichung eines Proof-of-Concept-Exploits durch Rapid7 – hat die theoretische Gefahr in eine reale, laufende Bedrohung verwandelt. Die Tatsache, dass Angreifer innerhalb eines einzigen Tages nach Veröffentlichung des Exploit-Codes ihre Aktivitäten auf Honeypots starteten, verdeutlicht die Geschwindigkeit, mit der moderne Cyberkriminelle auf neue Sicherheitslücken reagieren, sobald diese detailliert dokumentiert werden.

Die beteiligten Akteure

In den aktuellen Vorgang sind verschiedene Akteure involviert, die jeweils unterschiedliche Rollen einnehmen. Microsoft als Hersteller der Software ist für die Bereitstellung der Sicherheitsupdates verantwortlich und hat die Schwachstelle CVE-2026-55040 bereits im Juli in seinem Advisory dokumentiert. Die Sicherheitsforscher von Rapid7 haben durch ihre Analyse und die Veröffentlichung des Proof-of-Concept-Exploits am 11. August maßgeblich dazu beigetragen, dass die Lücke nun aktiv ausgenutzt werden kann, während sie gleichzeitig die Öffentlichkeit auf die Gefahr aufmerksam machten. Die Forscher von Defused fungieren als Beobachter, die durch ihre Honeypot-Systeme die tatsächliche Ausnutzung der Lücke in der freien Wildbahn nachweisen konnten. Die Shadowserver Foundation liefert mit ihren Scans wertvolle Daten über die Verbreitung der potenziell gefährdeten Sharepoint-Server im Internet. Auf der anderen Seite stehen die Administratoren, die nun in der Pflicht sind, die notwendigen Sicherheitsmaßnahmen umzusetzen. Zudem gibt es die anonymen Angreifer, die sich den veröffentlichten Code zunutze machen, um Zugriff auf fremde IT-Infrastrukturen zu erlangen.

Einordnung der Situation

Einzuordnen ist die aktuelle Lage als klassisches Katz-und-Maus-Spiel zwischen Sicherheitsforschern, Herstellern und Angreifern. Dass Sicherheitslücken nach der Veröffentlichung von Exploits innerhalb kürzester Zeit aktiv ausgenutzt werden, ist ein bekanntes Muster in der IT-Sicherheit. Den Berichten zufolge ist die geringe Angriffskomplexität der entscheidende Faktor, der CVE-2026-55040 so gefährlich macht. Da die Lücke bereits seit Juli gepatcht werden kann, ist ein Großteil der Verantwortung bei den Betreibern der Server zu suchen, die ihre Systeme nicht zeitnah aktualisiert haben. Die Veröffentlichung des Exploits durch Rapid7 wird in der Fachwelt oft als zweischneidiges Schwert betrachtet: Einerseits dient es der Transparenz und dem Druck auf Administratoren zum Handeln, andererseits liefert es Kriminellen eine fertige Anleitung. Microsoft hat in seinem offiziellen Advisory bisher noch keinen expliziten Hinweis auf die laufenden Angriffe aufgenommen, doch es ist davon auszugehen, dass diese Informationen zeitnah ergänzt werden, um die Dringlichkeit für die Anwender weiter zu erhöhen.

Offene Fragen und Lücken im Kenntnisstand

Obwohl die Faktenlage zur Schwachstelle CVE-2026-55040 klar ist, bleiben einige wesentliche Fragen unbeantwortet. Der Quelltext lässt offen, wie viele der weltweit rund 8.500 erreichbaren Sharepoint-Server tatsächlich bereits erfolgreich kompromittiert wurden. Es gibt keine Informationen über das Ausmaß der bereits entstandenen Schäden oder darüber, welche Art von Daten von den Angreifern bisher abgegriffen wurden. Ebenso bleibt unklar, ob die Angreifer lediglich automatisierte Bots einsetzen, um wahllos Server zu scannen, oder ob es sich um gezielte Attacken auf spezifische Organisationen handelt. Zudem ist nicht bekannt, wie lange die Angreifer bereits vor der Veröffentlichung des Exploits durch Rapid7 Kenntnis von der Schwachstelle hatten und ob sie diese möglicherweise bereits vor dem 11. August im Verborgenen ausgenutzt haben. Auch die genaue geografische Verteilung der betroffenen Server oder die Branchen, die am stärksten unter Beschuss stehen, werden im vorliegenden Material nicht spezifiziert, was die Einschätzung des individuellen Risikos für einzelne Unternehmen erschwert.

Wie es weitergeht

Für Administratoren, die Microsoft Sharepoint verwalten, ist die Handlungsanweisung eindeutig: Es besteht dringender Handlungsbedarf. Die erste Priorität muss das Einspielen der Juli-Updates sein, da diese die kritische Lücke CVE-2026-55040 schließen. Darüber hinaus wird empfohlen, auch die im August veröffentlichten Sicherheitsupdates zu installieren, da diese weitere 30 Sicherheitslücken in Sharepoint adressieren und somit das allgemeine Sicherheitsniveau der Systeme deutlich anheben. Da Microsoft sein Advisory voraussichtlich zeitnah um Hinweise zu den laufenden Angriffen ergänzen wird, sollten Administratoren die offiziellen Kanäle des Herstellers regelmäßig auf Updates und neue Sicherheitsempfehlungen hin überwachen. Es ist davon auszugehen, dass die Angriffswelle in den kommenden Tagen an Intensität zunehmen wird, da der Exploit-Code nun breit verfügbar ist. Organisationen, die ihre Server bisher nicht gepatcht haben, sollten zudem eine forensische Überprüfung ihrer Systeme in Erwägung ziehen, um festzustellen, ob bereits unbefugte Zugriffe stattgefunden haben, bevor die Patches installiert werden.