CVE-2026-55040 erlaubt es einem nicht authentifizierten Angreifer, die Anmeldung an einem verwundbaren SharePoint-Server zu umgehen und anschließend beliebige Aktionen als Benutzer einer SharePoint-Site oder als Administrator auszuführen. Microsoft beschrieb die Schwachstelle im vergangenen Monat als Umgehung einer Authentifizierungsfunktion, die eine Identitätsanmaßung ermöglicht. Laut dem Hersteller kann eine erfolgreiche Ausnutzung zur Offenlegung von Dateien und zur Veränderung von Daten führen, ohne die Systemverfügbarkeit zu beeinflussen.

Nach Angaben von Rapid7 liegt die Ursache in „mehreren Problemen“ innerhalb der Prüfkette für JWT-Token. Konkret werde eine Kette aus vier verschiedenen Schwächen ausgenutzt, mit der ein nicht authentifizierter entfernter Angreifer ein gültiges JWT fälschen und sich als beliebiger Nutzer einer SharePoint-Site ausgeben kann. Rapid7 zufolge sitzt der Fehler in zwei verschiedenen Klassen, die die Logik zum Parsen und Validieren von Bearer-Service-zu-Service-Tokens umsetzen.

Der von Rapid7 veröffentlichte Python-basierte PoC nutzt das gefälschte JWT, um den Domain Controller eines Zielsystems abzufragen, Benutzer anhand ihrer SID aufzulisten und die SID eines Nutzers mit Site-Administratorrechten automatisch zu finden. Defused Cyber berichtet, dass Angreifer genau diesen PoC inzwischen aktiv verwenden. Das ist ein weiterer Hinweis darauf, dass neue Schwachstellen kurz nach Veröffentlichung technischer Hilfsmittel in realen Angriffen landen.

Wer hinter den aktuellen Ausnutzungsversuchen steckt, ist bislang unklar. Auch zu den Zielen der Angreifer gibt es derzeit keine gesicherten Angaben. Telemetriedaten von KEVIntel zeigen jedoch, dass seit dem 19. Juli 2026 insgesamt 12 Ausnutzungsversuche registriert wurden. Acht davon entfielen auf den 12. und 13. August 2026, was nach Einschätzung der im Quelltext zitierten Daten darauf hindeutet, dass die Veröffentlichung des PoC zu dieser Aktivität beigetragen hat.

Die 12 registrierten Versuche gingen von acht unterschiedlichen IP-Adressen aus fünf Ländern und Regionen aus: Hongkong, Japan, die Niederlande, Taiwan und die USA. Microsoft hatte den Fehler bereits mit den Patch-Tuesday-Updates im Juli 2026 behoben. Im Zusammenhang mit dem Anstieg aktiver Ausnutzung wird SharePoint-Nutzern geraten, ihre Instanzen auf dem aktuellen Stand zu halten.