Hacker nutzen neue JWT-Schwachstelle in Microsoft SharePoint für Angriffe

Ein Proof-of-Concept-Exploit für eine kritische Schwachstelle in Microsoft SharePoint wird bereits für Angriffe eingesetzt – nur einen Tag nachdem Rapid7 technische Details und Exploit-Code veröffentlicht hatte. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, sich als SharePoint-Nutzer oder -Administratoren auszugeben und auf Daten zuzugreifen oder diese zu verändern.

Exploit-Code zielt auf Umgehung der SharePoint-Authentifizierung

Die als CVE-2026-55040 verfolgte Schwachstelle betrifft die Validierung von JWT-Tokens in Microsoft SharePoint. Angreifer benötigen keine gültigen Anmeldedaten, um die SharePoint-JWT-Schwachstelle auszunutzen.

Bei erfolgreicher Ausnutzung kann ein Angreifer Aktionen als SharePoint-Nutzer oder -Administrator durchführen. Microsoft zufolge könnten dadurch Dateien offengelegt und Daten verändert werden. Die Verfügbarkeit des Systems ist jedoch nicht betroffen.

Microsoft behob das Problem mit seinen Patch-Tuesday-Updates vom Juli 2026. Das Unternehmen forderte Organisationen, die SharePoint Enterprise Server 2016 und SharePoint Server 2019 einsetzen, dazu auf, die verfügbaren Sicherheitsupdates zu installieren.

Rapid7-Forscher Stephen Fewer veröffentlichte am Dienstag eine detaillierte technische Analyse sowie Proof-of-Concept-Code. Das Threat-Intelligence-Unternehmen Defused berichtete bereits am folgenden Tag, dass Angreifer den öffentlichen Exploit gegen seine SharePoint-Honeypots eingesetzt hatten.

Tausende SharePoint-Server bleiben exponiert

Shadowserver verfolgt mehr als 8.500 Microsoft-SharePoint-Server, die über das Internet erreichbar sind. Es ist unklar, wie viele dieser Server Honeypots sind, bereits gepatcht wurden oder weiterhin für die SharePoint-JWT-Schwachstelle anfällig sind.

Microsoft hat CVE-2026-55040 als attraktives Ziel für Angreifer eingestuft. Das Unternehmen führt die Schwachstelle bislang jedoch nicht als aktiv in freier Wildbahn ausgenutzt.

Wie schnell der Exploit-Code bei Angriffen auftauchte, verdeutlicht das Risiko für Organisationen, die die Juli-Updates noch nicht installiert haben. Öffentlich erreichbare SharePoint-Server könnten besonders attraktive Ziele darstellen, da Angreifer exponierte Systeme aus der Ferne testen können.

CISA fordert Organisationen zur Einschränkung des Zugriffs auf

CISA warnte Netzwerkverantwortliche am 15. Juli vor möglichen Angriffen auf CVE-2026-55040. Die Behörde empfahl Organisationen, SharePoint-Server nicht direkt mit dem Internet zu verbinden, sofern dies nicht unbedingt erforderlich ist.

Wenn öffentlicher Zugriff erforderlich ist, empfiehlt CISA, den Server hinter einem Layer-7-Reverse-Proxy oder einer anderen Sicherheitskontrolle auf Anwendungsebene zu platzieren.

Organisationen sollten außerdem den externen Zugriff auf SharePoint Central Administration blockieren. Darüber hinaus sollte die Kommunikation zwischen SharePoint-Farmservern und Datenbanken auf die Systeme beschränkt werden, die sie tatsächlich benötigen.

Sicherheitsteams sollten Microsofts Empfehlungen zur Absicherung von SharePoint prüfen, die Sicherheitsupdates vom Juli 2026 installieren und ungewöhnliche Authentifizierungsaktivitäten untersuchen. Die Überwachung auf unerwartete Konto-Imitationen oder Änderungen an SharePoint-Inhalten kann dabei helfen, Ausnutzungsversuche zu erkennen.

SharePoint bleibt ein häufiges Angriffsziel

CISA hat seit November 2021 insgesamt 14 aktiv ausgenutzte Microsoft-SharePoint-Schwachstellen in seinen Known Exploited Vulnerabilities Catalog aufgenommen. Acht dieser Schwachstellen wurden auch bei Ransomware-Angriffen eingesetzt.

Am Dienstag bestätigte CISA außerdem, dass Ransomware-Gruppen CVE-2026-45659 ausnutzen. Dabei handelt es sich um eine SharePoint-Schwachstelle mit hohem Schweregrad, die Remote-Code-Ausführung ermöglicht und seit Anfang Juli aktiv angegriffen wird.

Die jüngsten Aktivitäten zeigen, warum Organisationen die SharePoint-JWT-Schwachstelle dringend behandeln sollten. Die Installation des Sicherheitsupdates und die Reduzierung unnötiger Internet-Exposition bleiben die wichtigsten Maßnahmen zur Begrenzung des Risikos.