Die SharePoint-Schwachstelle CVE-2026-20963 wurde am 13. Januar 2026 offengelegt, als Microsoft seine Januar-Sicherheitsupdates veröffentlichte. Microsoft klassifizierte die Lücke als kritisch mit einem CVSS-Wert von 9,8. Das Problem liegt in der unsicheren Deserialisierung von nicht vertrauenswürdigen Daten – ein bekanntes Sicherheitsrisiko, das Angreifern ermöglicht, beliebigen Code einzuschleusen und auszuführen.
Besonders bemerkenswert: Ein unauthentifizierter Angreifer benötigt keinerlei Anmeldedaten, um die Schwachstelle auszunutzen. Er kann sich einfach über das Netzwerk mit dem betroffenen SharePoint Server verbinden und sofort Befehle ausführen. Dies macht CVE-2026-20963 zu einer der gefährlichsten Kategorien von Sicherheitslücken überhaupt.
Die Lücke betrifft folgende Versionen: SharePoint Server 2016, SharePoint Server 2019 und SharePoint Subscription Edition – eine große Anzahl von Installationen weltweit. Eine anonyme Sicherheitsforscherin oder ein Forscher hatte die Schwachstelle verantwortungsvoll an Microsoft gemeldet.
CISA ordnete am 18. März an, dass alle US-Bundesbehörden die Lücke bis zum 21. März schließen müssen. Dies deutet darauf hin, dass die Behörde bereits von Angriffsversuchen weiß. Interessanterweise stuft Microsoft die Exploitierbarkeit auf seiner Website als „weniger wahrscheinlich” ein – eine Bewertung, die angesichts der CISA-Warnung angezweifelt werden könnte.
Deutsche Unternehmen, Behörden und Organisationen sollten dieses Update als Priorität behandeln. SharePoint wird vielerorts als zentrale Dokumenten- und Kollaborationsplattform eingesetzt. Ein erfolgreich ausgenutzte Lücke könnte zu vollständiger Systemübernahme, Datendiebstahl oder Ransomware-Angriffen führen.
Zur historischen Einordnung: CISA führt derzeit neun verschiedene SharePoint-Schwachstellen in seinem KEV-Katalog auf. Drei davon wurden 2025 offengelegt und stehen im Zusammenhang mit den sogenannten ToolShell-Angriffen, die speziell SharePoint als Ziel hatten. Dies zeigt ein erkennbares Muster: SharePoint ist ein häufig anvisiertes Ziel von Cyberkriminellen.
Microsoft hat seine Sicherheitsempfehlungen am 17. März aktualisiert, bestätigte aber bisher keine genauen Details zu den aktiven Angriffsszenarien. SecurityWeek und weitere Sicherheitsmedien haben Microsoft um weitere Informationen gebeten.