SharePoint-Sicherheitslücke aktiv ausgenutzt – betroffene Server jetzt aktualisieren

Microsoft meldet verlässliche Hinweise auf aktive Angriffe über eine Schwachstelle in SharePoint Server. Ein gültiges Konto mit geringen Rechten genügt; eine zusätzliche Aktion eines Nutzers ist nicht erforderlich.

Ein Konto mit geringen Rechten genügt

CVE-⁠2026-⁠65660 ermöglicht Code-⁠Injection. Ein angemeldeter Angreifer kann eine speziell präparierte Anfrage an einen betroffenen Server senden und dort eigenen Code ausführen. Administratorrechte sind dafür nicht erforderlich. Der Angriff setzt allerdings ein gültiges Konto voraus; es handelt sich nicht um einen anonymen Zugriff.

Microsoft bewertet die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit jeweils als hoch. Der CVSS-⁠Basiswert liegt bei 8,8, die Einstufung lautet „Important“. Entscheidend für die Priorisierung ist jedoch, dass bereits Angriffe stattfinden. CISA und ENISA nahmen die Schwachstelle am 25. September 2026 in ihre Kataloge bekannter, aktiv ausgenutzter Sicherheitslücken auf.

Diese SharePoint-Versionen sind betroffen

Prüfen Sie SharePoint Server Subscription Edition, SharePoint Server 2019 und SharePoint Enterprise Server 2016. Für jedes Produkt ist ein eigener korrigierter Build maßgeblich:

• Subscription Edition: Build 16.0.19725.20522, Update KB5002893.
• SharePoint Server 2019: Build 16.0.10417.20198, Updates KB5002894 und KB5002896.
• SharePoint Enterprise Server 2016: Build 16.0.5565.1001, Updates KB5002905 und KB5002906. Das Update für Enterprise Server 2016 gilt auch für SharePoint Server 2016.

Gleichen Sie den installierten Build mit der passenden Produktversion ab. Bei den Versionen, für die mehrere Pakete genannt sind, müssen alle zugehörigen Updates installiert werden; die Reihenfolge spielt keine Rolle. Der Patch erschien bereits am 11. August 2026. Die später bekannt gewordenen Angriffe ändern die Priorität: Verwundbare Systeme sollten nicht bis zum nächsten regulären Wartungsfenster warten.

Patch und mögliche Ausnutzung getrennt bewerten

Ein eingespieltes Update schließt die bekannte Lücke, klärt aber nicht, ob ein Server vor der Aktualisierung angegriffen wurde. Behandeln Sie beides deshalb als getrennte Aufgaben: zuerst den betroffenen Build korrigieren, dann den Zeitraum betrachten, in dem die Installation noch verwundbar war.

Für diese Prüfung sind auch Konten relevant, die keine Administratorrechte besitzen. Gleichen Sie Aktivitäten von Konten mit SharePoint-⁠Zugriff im fraglichen Zeitraum mit den verfügbaren Protokollen und Ihren internen Abläufen zur Vorfallbewertung ab. Gibt es Auffälligkeiten, behandeln Sie sie als möglichen Sicherheitsvorfall und nicht als erledigt, nur weil das Update inzwischen installiert ist.

Berechtigungen nicht nur bei Administratoren prüfen

Weil bereits ein Konto mit geringen Rechten für den beschriebenen Angriffsweg genügt, reicht ein Blick auf die Administratorgruppe nicht aus. Prüfen Sie, welche Konten auf SharePoint zugreifen können und ob diese Berechtigungen weiterhin benötigt werden. Das ist eine ergänzende Maßnahme, kein Ersatz für den Patch: Solange ein Server auf einem verwundbaren Build läuft, bleibt die Schwachstelle relevant.

Prüfen Sie jetzt die Builds Ihrer SharePoint-⁠Server und installieren Sie auf verwundbaren Systemen alle zugehörigen Updates.

Quellen: Security-⁠Insider, „Angreifer nutzen SharePoint-⁠Schwachstelle zur Codeausführung aus“ (https://www.security-insider.de/sharepoint-luecke-cve-2026-65660-aktiv-ausgenutzt-a-1843fdfe452225e6c07522e33343c1de/)