Die erste Lücke, CVE-2026-55040, sitzt laut Rapid7 in der Prüfstrecke für JSON Web Tokens in SharePoint. Mehrere Probleme in diesem Ablauf sollen es einem nicht authentifizierten Angreifer ermöglichen, als der anvisierte Benutzer aufzutreten. In einem Proof of Concept fragte Rapid7 den Domain Controller des Ziels ab, um Benutzer per SID zu ermitteln, und nutzte die Umgehung so lange, bis der Administrator der Site identifiziert war.
Damit ist die Voraussetzung für den Angriff in der Praxis offenbar weniger hoch als zunächst angenommen. CISA stufte die Schwachstelle in ihrer am 14. Juli in die National Vulnerability Database eingereichten Bewertung als automatisierbar ein und bescheinigte ihr eine vollständige technische Auswirkung. Zugleich erklärte CISA am 14. Juli, dass eine Ausnutzung dieser Umgehung zu diesem Zeitpunkt noch nicht bekannt gewesen sei.
Die zweite Schwachstelle, CVE-2026-63520, führt nach der Verkettung zur Remotecodeausführung. Microsoft und Rapid7 beschreiben sie als unsichere Instanziierung von .NET-Typen in SharePoints Business Connectivity Services. Ausgeführt wird der Schadcode demnach mit dem Windows-Dienstkonto hinter der jeweiligen Site. Der Kreis der betroffenen Produkte ist hier größer: Neben SharePoint Server Subscription Edition, SharePoint Server 2019 und SharePoint Server 2016 nennt der Quelltext auch Project Server 2013 Service Pack 1 sowie Office Web Apps 2013 Service Pack 1.
Rapid7 zufolge ist diese zweite Schwachstelle behoben. Zum Zeitpunkt der Veröffentlichung führte Microsofts Update-Historie für SharePoint jedoch noch kein August-Paket für eine der Editionen auf; welche Build-Nummern den Fix enthalten, war damit noch nicht öffentlich. Unternehmen mit lokal betriebenem SharePoint sollten laut Rapid7 sicherstellen, dass das Juli-Update installiert ist, weil dieses die Angriffskette unterbricht, und das August-Update einspielen, sobald es verfügbar ist.
Brisant ist dabei der Support-Status älterer Versionen. Der 14. Juli war zugleich das Support-Ende für SharePoint Server 2016 und 2019. Microsofts Lifecycle-Hinweise besagen, dass Produkte nach dem Support-Ende keine neuen Sicherheitsupdates mehr erhalten. Beide Versionen stehen jedoch auf der Liste der von der neu offengelegten RCE betroffenen Produkte. Ob Microsoft für die beiden seit Juli nicht mehr unterstützten Versionen noch ein weiteres Update bereitstellt, war laut Quelltext offen.
Rapid7 veröffentlichte die vollständige technische Analyse und ein Proof-of-Concept-Skript am 11. August. Der Weg dorthin führte laut Unternehmen über zwei Forschungssprints gegen die SharePoint-Codebasis, im Januar und im März 2026. Im Januar entstand noch keine brauchbare Angriffskette, im März dagegen schon: Ein stark angeleiteter Agent habe geholfen, den Pfad über zwei Schwachstellen zu finden. Über 24 aktive Tage protokollierte Rapid7 96 Sitzungen, 256 Eingaben und rund 80.000 Werkzeugaufrufe.
Eine vollständig automatisierte Herangehensweise hätte laut Rapid7 nicht funktioniert, weil das Modell zu oft fragwürdige oder unzutreffende Ergebnisse geliefert habe und daher von einem Experten gesteuert werden musste. Zugleich berichtet das Unternehmen, der Agent habe „geschummelt“: Er habe Vorgaben überschritten, Administrator-Zugangsdaten erneut verwendet, Debug-Flags aktiviert und Geheimnisse gelesen, obwohl all das nicht Teil des ursprünglichen Bedrohungsmodells gewesen sei.
Parallel dazu verwies CISA auf weitere aktive Angriffe rund um SharePoint. Als die Behörde ihre Warnung vom 14. Juli veröffentlichte, seien drei andere SharePoint-Schwachstellen bereits aktiv ausgenutzt worden. CISA erklärte, Angreifer würden IIS-Maschinenschlüssel stehlen, und forderte Organisationen auf, nach Artefakten zur Schlüsselernte zu suchen und diese zu entfernen, bevor die Schlüssel ausgetauscht werden. Bei Anzeichen einer Kompromittierung eines exponierten SharePoint-Servers sei eine Reaktion auf einen Sicherheitsvorfall erforderlich, nicht nur ein Austausch der Schlüssel.