CVE-2026-55040 wurde von Microsoft mit den Patch-Tuesday-Updates im Juli behoben. Der Hersteller stuft die Lücke als Problem mit schwacher Authentifizierung ein, das es einem Angreifer erlaubt, über das Netzwerk eine Sicherheitsfunktion zu umgehen. Microsoft erklärte, ein nicht authentifizierter Angreifer könne in einem netzbasierten Angriff die Authentifizierung umgehen und eine anonyme Verbindung herstellen. Die Folge könne die Offenlegung von Dateien und die Veränderung von Daten sein.
Rapid7 legte am 11. August technische Details zu CVE-2026-55040 offen. Das Sicherheitsunternehmen zeigte, wie ein entfernter, nicht authentifizierter Angreifer die Schwachstelle ausnutzen kann, um die Authentifizierung zu umgehen und Operationen als Benutzer oder Administrator einer SharePoint-Site auszuführen. Zudem veröffentlichte Rapid7 ein Proof-of-Concept-Skript.
Defused berichtete am 12. August, dass die eigenen Honeypots bereits Ausnutzungsversuche gegen CVE-2026-55040 registriert haben. Nach Angaben des Unternehmens greifen die Angriffe auf den von Rapid7 veröffentlichten Proof of Concept zurück. Microsofts Sicherheitshinweis erwähnt eine aktive Ausnutzung bislang weiterhin nicht. Der Bericht verweist jedoch darauf, dass Microsoft seine Hinweise nicht selten erst Tage nach bestätigten Angriffen aktualisiert.
Unabhängig davon meldete Rapid7 am Dienstag die Entdeckung von CVE-2026-63520. Diese SharePoint-Schwachstelle könne mit CVE-2026-55040 kombiniert werden, um eine nicht authentifizierte Remotecodeausführung auf Servern zu erreichen. Microsoft hat CVE-2026-63520 mit den Patch-Tuesday-Updates im August geschlossen. Hinweise auf eine Ausnutzung dieser zweiten Lücke liegen laut Bericht derzeit nicht vor.
CISA hatte Organisationen kürzlich aufgefordert, ihre SharePoint-Instanzen angesichts einer neuen Angriffswelle auf den aktuellen Stand zu bringen und abzusichern. Zu diesem Zeitpunkt warnte die Behörde bereits, dass auch CVE-2026-55040 in freier Wildbahn ausgenutzt werden könnte. In den KEV-Katalog hat CISA die Schwachstelle bislang noch nicht aufgenommen; dort sind derzeit bereits mehr als ein Dutzend SharePoint-Lücken verzeichnet.
CVE-2026-55040 ist nach Angaben des Berichts die fünfte SharePoint-Schwachstelle, deren Ausnutzung in diesem Sommer bekannt wurde. Zuvor war dies bereits bei CVE-2026-50522, CVE-2026-58644, CVE-2026-56164 und CVE-2026-45659 der Fall. Öffentliche Informationen dazu, wer hinter der Ausnutzung dieser Schwachstellen steckt, gibt es demnach derzeit nicht.