Direkt zur Hauptnavigation springen Direkt zum Inhalt springen

SharePoint-Zero-Day wird aktiv ausgenutzt: BSI-Warnung zum Microsoft-Patchday im Juli

Microsofts Juli-Patchday war der größte der Firmengeschichte – und enthält einen SharePoint-Zero-Day, der bereits aktiv ausgenutzt wird. Das BSI hat gewarnt, die US-Behörde CISA hat die Lücke in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Betroffen sind On-Premises-Installationen.

Am 14. Juli 2026 hat Microsoft im Rahmen des monatlichen Patchdays Sicherheitsupdates für eine außergewöhnlich große Zahl von Schwachstellen veröffentlicht – nach übereinstimmenden Berichten der umfangreichste Patchday in der Geschichte des Programms. Das BSI hat noch am selben Tag eine Cybersicherheitswarnung zu den SharePoint-Lücken herausgegeben (Meldung 2026-271713-1032).

Die Einstufung des BSI

Von den geschlossenen SharePoint-Schwachstellen wird laut BSI eine bereits ausgenutzt; bei drei weiteren geht Microsoft von einer „eher wahrscheinlichen" künftigen Ausnutzung aus. Die Warnung nennt die Kennungen CVE-2026-50522, CVE-2026-58644, CVE-2026-55040 und CVE-2026-56164.

Was dahintersteckt

  • CVE-2026-58644 und CVE-2026-50522 sind Remote-Code-Execution-Schwachstellen mit einem CVSS-Wert von 9,8. Beide beruhen auf der Deserialisierung nicht vertrauenswürdiger Daten und sind ohne Anmeldung und ohne Nutzerinteraktion erreichbar. CVE-2026-58644 wurde von der US-Behörde CISA in den Katalog bekannter ausgenutzter Schwachstellen aufgenommen.
  • CVE-2026-56164 ist eine fehlende Authentifizierungsprüfung, über die sich Rechte über das Netzwerk ausweiten lassen.
  • CVE-2026-55040 ist ein Authentifizierungs-Bypass in der JWT-Verarbeitung, der im Rahmen von Pwn2Own Berlin offengelegt wurde.

Berichten zufolge stehlen Angreifer nach erfolgreicher Ausnutzung IIS-Machine-Keys, um sich dauerhaft im System einzunisten – ein reines Einspielen des Patches reicht bei bereits kompromittierten Systemen daher nicht aus.

Wer betroffen ist – und wer nicht

Betroffen sind On-Premises-Installationen von SharePoint Server: Subscription Edition, 2019 und 2016. Wer SharePoint ausschließlich als Cloud-Dienst über Microsoft 365 nutzt, ist von diesen konkreten Lücken nicht in gleicher Weise betroffen – Microsoft patcht die Cloud-Umgebung selbst. Kritisch wird es überall dort, wo ein eigener SharePoint-Server im Haus oder im Rechenzentrum steht, oft in hybriden Umgebungen.

Was Sie jetzt tun sollten

  • Juli-Updates für alle SharePoint-Server einspielen, priorisiert vor allen anderen Patches dieses Monats.
  • Nach dem Patchen die IIS-Machine-Keys rotieren und die SharePoint-Dienste neu starten.
  • Server-Logs auf verdächtige POST-Anfragen und unbekannte ASPX-Dateien im Layouts-Verzeichnis prüfen.
  • SharePoint-Server, die aus dem Internet erreichbar sind, hinter VPN oder Reverse Proxy mit Zugriffsbeschränkung legen.
  • Prüfen, ob eingesetzte Versionen noch im Support stehen – End-of-Life-Installationen erhalten keine Patches mehr.
Zurück
Cookie Extension Logo