Defused beschreibt das beobachtete Vorgehen konkret: „Wir sehen, wie die SharePoint-RCE-Kette CVE-2026-55040 + CVE-2026-63520 in unseren Honeypots abgetastet wird", warnte das Unternehmen am Dienstag. Der JWT-Bypass (55040) sei ausgeführt worden, gefolgt von umfangreicher Aufzählung von Administratorkonten und dem Abklopfen der Business-Data-Catalog-Senke hinter CVE-2026-63520. Eine tatsächliche Codeausführung habe man bislang nicht beobachtet.
Die Angriffsfläche ist beträchtlich: Die Sicherheits-Nonprofitorganisation Shadowserver zählt derzeit mehr als 8.700 im Internet erreichbare Microsoft-SharePoint-Server. Wie viele davon Honeypots sind, die Angriffsversuche einfangen sollen, und wie viele bereits gegen die beiden Schwachstellen abgesichert wurden, lässt sich aus den Daten nicht ableiten.
Microsoft stuft CVE-2026-63520 als attraktives Ziel für Bedrohungsakteure ein, hat die Lücke bislang aber nicht als aktiv ausgenutzt markiert. Für CVE-2026-55040 dagegen liegen bereits seit kurz nach der PoC-Veröffentlichung Berichte über reale Angriffe vor.
SharePoint steht seit Wochen unter Beschuss. Bereits am 15. Juli hatte die CISA Netzwerkverteidiger davor gewarnt, dass Angreifer drei weitere Schwachstellen — CVE-2026-32201, CVE-2026-45659 und CVE-2026-56164 — aktiv ausnutzen, um im Internet exponierte On-Premises-Installationen von SharePoint Server zu kompromittieren. Die Behörde riet den Sicherheitsteams, die offiziellen Härtungsempfehlungen von Microsoft für SharePoint Server durchzugehen und die Server nicht ohne zwingenden Grund direkt aus dem Internet erreichbar zu machen.
Am Dienstag bestätigte die CISA zudem, dass die Remotecodeausführungslücke CVE-2026-45659, die seit Anfang Juli als aktiv ausgenutzt gilt, mittlerweile auch in Ransomware-Angriffen eingesetzt wird.
Die Bilanz der Behörde fällt entsprechend deutlich aus: Seit November 2021 hat die CISA 15 aktiv ausgenutzte Schwachstellen in Microsoft SharePoint erfasst, acht davon wurden auch von Ransomware-Gruppen missbraucht.