Ein eigener Server, eine Anmeldung ohne Passwort
Wenn Sie SharePoint ausschließlich als Teil von Microsoft 365 nutzen, also SharePoint Online aus der Cloud, dann betrifft Sie dieser Beitrag nicht. Das gilt für die Mehrheit der Unternehmen, und damit ist die wichtigste Frage für Sie bereits beantwortet.
Alle anderen sind gemeint: Wer einen eigenen SharePoint-Server im Haus betreibt, hat ein Problem, das nicht mehr theoretisch ist. Über eine Schwachstelle in der Anmeldeprüfung kann sich ein Angreifer aus dem Internet ohne jedes Zugangsdatum als beliebiger Benutzer ausgeben, bis hinauf zum Administrator, und Dokumente lesen und verändern. Die US-Behörde CISA führt diese Lücke seit dem 18. August 2026 in ihrem Katalog nachweislich ausgenutzter Schwachstellen – aufgenommen wird dort nur, wofür Belege für tatsächliche Angriffe vorliegen.
Der eigentliche Lehrsatz dieses Beitrags steht allerdings nicht in der Lücke selbst, sondern in dem, was Microsofts Informationsseite dazu auch am 28. August 2026 noch anzeigt.
Auf einen Blick
- Die Lücke: CVE-2026-55040 – so lautet die weltweit eindeutige Kennung – in Microsoft SharePoint Server. Microsoft betitelt sie als „Sicherheitsanfälligkeit in Microsoft SharePoint Server bezüglich Umgehung von Sicherheitsfunktionen" und stuft den maximalen Schweregrad als „Kritisch" ein.
- Die Ursache: eine schwache Anmeldeprüfung, in der Fachsystematik als CWE-1390 „Weak Authentication" geführt. Microsoft schreibt dazu selbst, die Authentifizierung könne umgangen werden, „da diese Sicherheitsanfälligkeit Identitätswechsel zulässt". Gemeint ist damit, dass der Server den Angreifer für einen anderen, berechtigten Benutzer hält.
- Was ein Angreifer erreicht: Nach Microsofts eigener Beschreibung könnten Angreifende „zwar Dateien offenlegen und Daten ändern, hätten jedoch keinen Einfluss auf die Verfügbarkeit des Systems".
- Der Stand der Ausnutzung: seit dem 18. August 2026 im CISA-Katalog, ausdrücklich „based on evidence of active exploitation".
- Betroffen: SharePoint Server als selbst betriebene Installation im eigenen Haus. Nicht betroffen: SharePoint Online als Teil von Microsoft 365.
- Die Abhilfe: Microsoft hat die Lücke mit der Veröffentlichung am 14. Juli 2026 zusammen mit einem offiziellen Update bekannt gegeben. Für SharePoint Server 2016 und 2019 war das zugleich der letzte Patchtag überhaupt.
Der Widerspruch, um den es hier geht
Rufen Sie am 28. August 2026 Microsofts Seite zu dieser Lücke auf, finden Sie dort zwei Angaben, die entwarnen: „Publicly disclosed: No" und „Exploited: No" – also weder öffentlich beschrieben noch ausgenutzt.
Diese Angaben sind nicht gefälscht und nicht einmal falsch. Sie sind der Stand vom 14. Juli 2026. Die Seite trägt unverändert die Revision 1.0 mit dem Vermerk „Information published", und eine spätere Überarbeitung gibt es nicht. Microsoft weist selbst darauf hin, dass die Bewertung zum Zeitpunkt der ursprünglichen Veröffentlichung gilt. Fünf Wochen später hat eine Behörde belegte Angriffe dokumentiert – auf der Herstellerseite ist davon nichts zu sehen, weil dort seither niemand etwas geändert hat.
Damit ist der übertragbare Punkt benannt, und er gilt weit über SharePoint hinaus: Eine Herstellerseite ist eine Momentaufnahme, kein laufend gepflegter Zustand. Wer sie wie einen Live-Status liest, hält eine aktiv ausgenutzte Lücke für ungefährlich – nicht wegen einer Falschaussage, sondern weil ein Datum übersehen wurde. Die Frage bei jeder Sicherheitsmeldung lautet deshalb nicht nur „was steht da", sondern „von wann ist das, und wer schreibt es fort".
Die Zahl 9,1 und was sie vollständig bedeutet
Microsoft gibt für diese Lücke einen Basiswert von 9,1 von 10 an und einen zeitlichen Wert von 7,9. Dahinter steht ein Vektor, also eine standardisierte Kurzschrift der Eigenschaften. Er lautet vollständig:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N/E:U/RL:O/RC:C
Die ersten acht Angaben bilden den Basiswert. Sie beschreiben die Lücke selbst und ändern sich nicht:
| Element | Bedeutung |
|---|---|
| AV:N | Der Angriff erfolgt über das Netz, aus der Ferne. |
| AC:L | Die Ausführung ist wenig aufwendig, es braucht keine seltenen Umstände. |
| PR:N | Der Angreifer benötigt keinerlei Rechte, also kein Konto und kein Passwort. |
| UI:N | Kein Mitarbeiter muss klicken oder etwas öffnen. |
| S:U | Der Schaden bleibt im betroffenen System, es wird keine Systemgrenze überschritten. |
| C:H | Vertraulichkeit vollständig betroffen: Dokumente lassen sich einsehen. |
| I:H | Integrität vollständig betroffen: Daten lassen sich verändern. |
| A:N | Verfügbarkeit nicht betroffen: Der Server wird nicht lahmgelegt. |
Genau dieses letzte Element ist der Grund, warum hier 9,1 steht und nicht die 9,8, die man von anderen Meldungen kennt. Der Angreifer liest und verändert, er legt den Betrieb aber nicht still. Für ein Unternehmen ist das keine Beruhigung, sondern das Gegenteil: Ein Ausfall fällt sofort auf, ein stiller Zugriff auf die Dokumentenablage nicht.
Die drei letzten Angaben gehören nicht zum Basiswert, sondern zur zeitlichen Bewertung, und die stammt aus dem Juli 2026: E:U bedeutet „kein Exploit bekannt", RL:O „ein offizieller Patch liegt vor", RC:C „der Sachverhalt ist bestätigt". Der zeitliche Wert von 7,9 liegt nur deshalb unter dem Basiswert, weil er genau diesen Julistand abbildet: Patch verfügbar, kein Exploit bekannt. Das E:U ist derselbe Julistand wie das „Exploited: No" weiter oben und durch die CISA-Aufnahme vom 18. August 2026 überholt. Der Basiswert 9,1 hat sich dadurch nicht geändert – die Dringlichkeit sehr wohl. Wer zwei Lücken allein anhand ihrer Zahl sortiert, verliert genau diese Information.
Nicht zu verwechseln mit den SharePoint-Lücken aus dem Juli
Über SharePoint-Schwachstellen haben wir in diesem Jahr bereits mehrfach berichtet, zuletzt am 16. Juli 2026 zum Support-Ende von SharePoint Server 2016 und 2019. Jener Beitrag führte CVE-2026-55040 in seiner ursprünglichen Fassung als offengelegt, aber noch nicht ausgenutzt.
Das Wort „offengelegt" war dabei unsere eigene Zusammenfassung des Umstands, dass Microsoft die Lücke am 14. Juli 2026 selbst öffentlich bekannt gegeben hatte – zusammen mit dem Update. Microsofts Feld „Publicly disclosed" beantwortet aber eine engere Frage, nämlich ob Einzelheiten der Lücke schon vor dem Update von dritter Seite veröffentlicht waren; darauf lautet die Antwort dort „No". Eine Quelle für eine Offenlegung in diesem engeren Sinn liegt uns nicht vor, weder aus dem Juli noch heute. Die missverständliche Formulierung ist im Juli-Beitrag am 28. August 2026 korrigiert worden; sie war eine Ungenauigkeit von uns, kein Widerspruch zu Microsoft.
Unstrittig ist die zweite Hälfte jenes Satzes, und sie ist die für Sie maßgebliche: „noch nicht ausgenutzt" war der belegte Stand des 16. Juli 2026 und ist seit dem 18. August 2026 überholt.
Wichtig ist außerdem: Dies ist eine andere Lücke als CVE-2026-45659 und als die vier im Juli genannten. Wer damals gehandelt hat, hat damit nicht automatisch diesen Fall erledigt. Die Zuordnung erfolgt über die Kennung, nicht über das Gefühl, das Thema SharePoint schon bearbeitet zu haben.
Für SharePoint Server 2016 und 2019 kommt erschwerend hinzu, was wir im Juli beschrieben haben: Die Updates vom 14. Juli 2026 waren für diese beiden Versionen die letzten, ein Programm für verlängerte Sicherheitsupdates gibt es nicht. Wer dort noch läuft, kann künftige Lücken nicht mehr schließen, sondern nur noch abschotten.
Was Sie jetzt tun sollten
- Zuerst klären, ob überhaupt ein eigener Server läuft. Erstaunlich viele Betriebe wissen das nicht sicher, weil das Portal im Alltag gleich aussieht. Die Frage an die IT lautet schlicht: Läuft unser SharePoint in Microsoft 365 oder auf einem Server bei uns – und wenn Letzteres, in welcher Version?
- Danach den Patchstand prüfen, und zwar am Build. Verlassen Sie sich nicht auf die Rückmeldung des Update-Vorgangs, sondern lassen Sie die installierte Versionsnummer nachsehen. Maßgeblich ist der jeweils aktuelle monatliche Stand, nicht der Umstand, dass irgendwann im Sommer 2026 gepatcht wurde.
- Die Erreichbarkeit aus dem Internet hinterfragen. Diese Lücke wird über das Netz ohne Zugangsdaten ausgenutzt. Ein Server, der öffentlich erreichbar ist, ohne dass jemand den Grund dafür benennen kann, gehört hinter eine vorgelagerte Anmeldung oder vom Netz.
- Bei SharePoint Server 2016 und 2019 die Ersatzplanung angehen. Ohne Patch-Pfad ist jede weitere Lücke dauerhaft offen. Ein Wechsel auf die Subscription Edition oder nach SharePoint Online braucht ein Datum im Kalender, keinen Vorsatz.
- Nach einem belegten Angriffszeitraum nicht nur patchen. Ein Update schließt die Tür, es entfernt aber niemanden, der bereits im Haus ist. War der Server aus dem Internet erreichbar und im Rückstand, gehört die Suche nach Einbruchsspuren dazu.
Fazit
Die Lücke selbst ist ein technischer Vorgang, der sich mit einem Update und etwas Ordnung an der Außengrenze beherrschen lässt. Der teurere Fehler liegt eine Ebene darüber: Zwei offizielle Quellen sagen an diesem 28. August 2026 unterschiedliche Dinge über dieselbe Schwachstelle, und wer nur die eine liest, entscheidet auf einem sechs Wochen alten Stand. Ein Datum auf einer Herstellerseite ist deshalb kein Beiwerk, sondern die halbe Information.
Wenn Sie nicht sicher sind, ob bei Ihnen ein betroffener Server läuft und wie es um dessen Patchstand und Erreichbarkeit steht, sehen wir uns das gemeinsam an.