Am 11. August 2026 veröffentlichte Stephen Fewer von Rapid7 einen Proof-of-Concept-Exploit für eine kritische Authentifizierungsumgehung in Microsoft SharePoint. Innerhalb von Stunden erkannten Honeypot-Anbieter aktive Ausnutzung in der Wildnis. Bis zum 18. August hatte CISA die Schwachstelle seinem Katalog bekannter ausgenutzter Schwachstellen hinzugefügt. Aber die eigentliche Geschichte ist größer als ein einzelner CVE: Wenn sie mit einer zweiten Schwachstelle verkettet wird, die am nächsten Tag offengelegt wurde, schaffen diese Fehler einen vollständigen nicht-authentifizierten Remote-Code-Execution-Pfad gegen eine der am weitesten verbreiteten Unternehmens-Kollaborationsplattformen der Welt.
Was diese Entdeckung besonders bemerkenswert macht, ist, wie sie gefunden wurde. Rapid7s Forschungsteam nutzte KI-gestützte Schwachstellenforschung, um beide Fehler aufzudecken — ein Meilenstein in der Art und Weise, wie Sicherheitsforscher große Sprachmodelle nutzen, um kritische Bugs in komplexer Unternehmenssoftware zu finden.
Die beiden Fehler, die eine vollständige Kompromittierung ermöglichen
Die Angriffskette kombiniert zwei unterschiedliche Schwachstellen, die zusammen einem nicht-authentifizierten Angreifer die vollständige Kontrolle über einen anfälligen SharePoint-Server geben.
CVE-2026-55040 ist eine JWT-Token-Authentifizierungsumgehung in SharePoints SPJsonWebSecurityTokenHandlerV2. Der Fehler resultiert aus einer unzureichenden Validierung von JSON Web Tokens, die es einem Angreifer ermöglicht, Token zu fälschen und jeden privilegierten SharePoint-Benutzer zu impersonieren — einschließlich Administratoren — ohne gültige Anmeldeinformationen bereitzustellen.
CVE-2026-63520 (CVSS 8.1) ist eine unsichere .NET-Typinstanziierungsschwachstelle in SharePoints Business Connectivity Services (BCS). Nach der Umgehung der Authentifizierung über CVE-2026-55040 kann ein Angreifer ein bösartiges BDC-Modell (Business Data Connectivity) in den BusinessDataCatalog hochladen. Dieses Modell weist SharePoint an, beliebige .NET-Typen zu instanziieren — und durch eine sorgfältig gestaltete Gadget-Kette unter Verwendung von System.Web.UI.LosFormatter kann der Angreifer beliebige Codeausführung mit den Privilegien des SharePoint-Dienstkontos erreichen.
Die Kette ist in ihrer Einfachheit verheerend: JWT fälschen, Authentifizierung umgehen, bösartiges BDC-Modell hochladen, beliebigen Code ausführen. Keine Benutzerinteraktion. Keine Anmeldeinformationen erforderlich.
KI-gestützte Entdeckung: Ein neues Zeitalter der Schwachstellenforschung
Vielleicht der bedeutendste Aspekt dieser Offenlegung ist, wie die Schwachstellen gefunden wurden. Rapid7s Stephen Fewer nutzte öffentlich verfügbare KI-Modelle in einem agentischen Workflow, um beide Fehler zu entdecken — ein Forschungsprojekt, das im Januar 2026 begann und im März mit einer funktionierenden Exploit-Kette abschloss.
Die Zahlen erzählen die Geschichte: 120 Stunden Agenten-Laufzeit über 24 Tage verteilt, 96 Sitzungen, etwa 80.000 agentische Tool-Aufrufe und 256 menschliche Eingaben. Der KI-Agent, geleitet von Fewers Fachwissen, navigierte durch SharePoints massive Codebasis, identifizierte die Authentifizierungsumgehung und fand dann die unsichere Typinstanziierung, die RCE ermöglichte.
"Unsere Hauptschlussfolgerung aus dem SharePoint-Forschungsprojekt im Q1 ist, dass ein von einem Fachexperten (SME) geleiteter Agent entscheidend war, um das Modell und seine Arbeit zum Endziel voranzutreiben," stellte Rapid7 fest.
Dies ist ein Wendepunkt. Wenn KI Forschern helfen kann, Pre-Auth-RCE-Ketten in so komplexer Unternehmenssoftware wie SharePoint zu finden, hat sich die offensive Sicherheitslandschaft grundlegend verändert.
Aktive Ausnutzung und Ausmaß der Exposition
Die Zeitleiste ist alarmierend. Rapid7 meldete CVE-2026-55040 im April 2026 an Microsoft. Der Patch wurde im Juli veröffentlicht. Rapid7 veröffentlichte den PoC am 11. August. Honeypot-Anbieter erkannten am selben Tag Ausnutzung. CISA fügte die Schwachstelle am 18. August seinem KEV-Katalog hinzu.
VulnChecks Analyse fand mindestens 8.500 internet-facing SharePoint-Server nach dem Filtern von Honeypots und Deduplizierung. Das sind 8.500 potenzielle Ziele für eine nicht-authentifizierte RCE-Kette mit einem öffentlich verfügbaren Proof-of-Concept.
Patches und Gegenmaßnahmen
Microsoft hat Patches für alle unterstützten SharePoint-Versionen veröffentlicht:
- SharePoint Server Subscription Edition: KB5002893
- SharePoint Server 2019: KB5002894 und KB5002896
- SharePoint Enterprise Server 2016: KB5002905 und KB5002906
Sicherheitsteams sollten sofort folgende Schritte unternehmen:
-
Jetzt patchen. Dies ist keine Situation für "für das nächste Wartungsfenster planen". Die Exploit-Kette ist öffentlich, die Ausnutzung ist aktiv und das Ziel ist die Kollaborationsinfrastruktur Ihrer Organisation.
-
BCS-Konfigurationen prüfen. Überprüfen Sie Ihre Business Connectivity Services-Einstellungen. Wenn Sie BCS nicht nutzen, erwägen Sie, es zu deaktivieren.
-
Nach Indikatoren suchen. Suchen Sie nach unerwarteten BDC-Modell-Uploads, ungewöhnlichen JWT-Token-Mustern und unbefugtem Zugriff auf
/_vti_bin/client.svc/ProcessQuery-Endpunkte. -
JWT-Validierung überprüfen. Stellen Sie sicher, dass Ihre SharePoint-Bereitstellung JWT-Token ordnungsgemäß validiert.
-
Internet-Exposition einschränken. Wenn Ihr SharePoint-Server nicht internet-facing sein muss, nehmen Sie ihn hinter eine VPN.
Was das für Ihr Unternehmen bedeutet
Die SharePoint-RCE-Kette ist das Neueste in einem sich beschleunigenden Muster: Angreifer zielen auf die Infrastruktur ab, der Unternehmen am meisten vertrauen. Von PaperCut über MOVEit und Barracuda bis hin zu SharePoint — die Lektion ist konsistent: Ihre Kollaborations- und Produktivitätswerkzeuge sind primäre Ziele.
Das Fazit: Patchen Sie SharePoint heute. Prüfen Sie Ihre BCS-Konfigurationen. Und erkennen Sie, dass das Zeitalter der KI-beschleunigten Schwachstellenentdeckung bedeutet, dass die Uhr schneller tickt als je zuvor.