CVE-2026-55040 ist eine kritische Schwachstelle in Microsoft SharePoint, die eine Umgehung der Authentifizierung in der Pipeline zur Validierung von JWT-Tokens ermöglicht. Laut Microsoft kann die Authentifizierungsfunktion umgangen werden, weil die Lücke eine Identitätsanmaßung erlaubt. Angreifer ohne besondere Rechte können dadurch Vorgänge als Nutzer einer SharePoint-Site oder als Administrator ausführen.

Microsoft hat die Lücke mit den Patch-Tuesday-Updates für Juli 2026 behoben und Kunden aufgefordert, Systeme mit SharePoint Enterprise Server 2016 und SharePoint Server 2019 zu aktualisieren. Nach Angaben des Unternehmens kann ein erfolgreicher Angriff zur Offenlegung von Dateien und zur Veränderung von Daten führen. Auf die Verfügbarkeit des Systems habe ein Angreifer über diese Schwachstelle jedoch keinen Einfluss.

Am Dienstag veröffentlichte der Rapid7-Sicherheitsforscher Stephen Fewer eine ausführliche technische Analyse zu CVE-2026-55040 zusammen mit einem Proof-of-Concept-Exploit. Nach Angaben von Defused wurde genau dieser von Rapid7 veröffentlichte Code inzwischen bereits in Angriffen eingesetzt. Das Unternehmen erklärte, Angreifer nutzten den Proof of Concept gegen seine SharePoint-Honeypots.

Wie groß die potenziell erreichbare Angriffsfläche ist, bleibt offen. Shadowserver erfasst derzeit mehr als 8.500 über das Internet erreichbare Microsoft-SharePoint-Server. Unklar ist jedoch, wie viele davon Honeypots sind oder bereits gegen diese Schwachstelle abgesichert wurden.

Microsoft hatte die Lücke zwar als besonders attraktives Ziel für Angreifer eingestuft, sie bislang aber noch nicht als erfolgreich in freier Wildbahn ausgenutzt gekennzeichnet. Wahrscheinlich auf Grundlage von Microsofts Einschätzung zur Ausnutzbarkeit warnte die US-Behörde Cybersecurity and Infrastructure Security Agency, kurz CISA, am 15. Juli Netzwerkverteidiger davor, ihre SharePoint-Server ungeschützt zu lassen.

CISA empfahl Sicherheitsteams, SharePoint-Server nur dann direkt aus dem Internet erreichbar zu machen, wenn dies unbedingt nötig ist, und die offizielle Härtungsanleitung von Microsoft für SharePoint Server zu prüfen. Außerdem riet die Behörde dazu, den externen Zugriff auf die SharePoint Central Administration zu blockieren und die Kommunikation zwischen Farm und Datenbank auf die erforderlichen Systeme zu beschränken. Falls eine Erreichbarkeit aus dem Internet notwendig ist, sollten Server laut CISA hinter einem Layer-7-Reverse-Proxy oder einer vergleichbaren Sicherheitskontrolle auf Anwendungsebene stehen.

Seit November 2021 hat CISA insgesamt 14 aktiv ausgenutzte Microsoft-SharePoint-Schwachstellen markiert. Acht davon wurden der Behörde zufolge auch bei Ransomware-Angriffen ausgenutzt. Ebenfalls am Dienstag bestätigte CISA, dass die hochriskante Microsoft-SharePoint-Schwachstelle zur Remotecodeausführung CVE-2026-45659, die seit Anfang Juli als aktiv ausgenutzt gilt, inzwischen auch von Ransomware-Gruppen eingesetzt wird.