In Microsoft SharePoint Server wurde eine schwerwiegende Sicherheitslücke identifiziert, die es Angreifern ermöglicht, mit vergleichsweise geringem Aufwand die Kontrolle über einen Server zu übernehmen.
Seit wenigen Tagen ist ein entsprechender Angriffscode öffentlich verfügbar, und Sicherheitsforscher verzeichnen bereits aktive Angriffswellen.
Bitte beachten Sie: Ein nachträgliches Einspielen des Updates allein genügt in diesem Fall nicht – betroffene Unternehmen sollten kurzfristig handeln.
Was ist passiert?
Die Sicherheitslücke trägt die Kennung CVE-2026-50522. Über sie können Angreifer aus der Ferne Schadcode auf einem SharePoint-Server ausführen. Im schlimmsten Fall genügt dafür eine einzelne präparierte Anfrage über das Internet, ganz ohne Benutzerkonto oder Anmeldung.
Microsoft hat die Lücke bereits am 14. Juli 2026 mit einem Sicherheitsupdate geschlossen. Seit dem 20. Juli ist jedoch ein fertiger Angriffscode öffentlich verfügbar, und Sicherheitsforscher beobachten seither aktive Angriffsversuche auf ungepatchte Server.
Besonders wichtig: Die Angreifer versuchen dabei, sogenannte Machine Keys zu erbeuten, digitale Schlüssel, mit denen sie sich auch nach einem späteren Update dauerhaft Zugriff auf den Server verschaffen können. Das Einspielen des Updates allein reicht deshalb nicht aus, um bereits betroffene Server wieder abzusichern.
Wie funktioniert der Angriff?
Der Angriff richtet sich gezielt gegen die Anmeldefunktion von SharePoint-Servern, die aus dem Internet erreichbar sind. Dabei senden die Angreifer eine speziell präparierte Anfrage an den Server, die dieser fehlerhaft verarbeitet, wodurch eingeschleuster Code zur Ausführung kommt. Ist dieser erste Schritt erfolgreich, greifen die Angreifer in einem zweiten Schritt die Machine Keys des Servers ab und sichern sich damit einen dauerhaften Zugang, der auch ein späteres Update übersteht. Da für diesen Ablauf keine Benutzeranmeldung erforderlich ist, sind grundsätzlich alle aus dem Internet erreichbaren, ungepatchten Server gefährdet.
Was ist betroffen?
Die Lücke betrifft ausschließlich selbst betriebene („On-Premises“) SharePoint-Server:
Nicht betroffen ist SharePoint Online (die Cloud-Variante innerhalb von Microsoft 365).
Wie kann ich mich schützen?
Wir empfehlen Unternehmen, die die betroffenen Versionen einsetzen, folgende Maßnahmen:
Fazit
CVE-2026-50522 zeigt exemplarisch, wie schnell aus einer geschlossenen Lücke wieder ein akutes Risiko werden kann: Ein verfügbarer Patch schützt nur, wenn er auch flächendeckend eingespielt wird – und selbst dann bleibt das Risiko bestehen, dass Zugangsschlüssel bereits vor dem Update entwendet wurden.
Gerade für KMU ohne große eigene IT-Sicherheitsabteilung ist deshalb eine klare Priorität wichtig: Update einspielen, Machine Keys rotieren, Zugriffe von außen einschränken und die eigenen Systeme auf Auffälligkeiten prüfen lassen. Wer diese Schritte jetzt umsetzt, schließt nicht nur die aktuelle Lücke, sondern reduziert auch das Risiko, in den kommenden Wochen von Nachfolgeangriffen betroffen zu sein – SharePoint-Server stehen aktuell verstärkt im Visier von Angreifern.
Bei Fragen zur Umsetzung stehen wir Ihnen gerne zur Verfügung.
Ihr Perseus-Team
Sie möchten über aktuelle Bedrohungen und Sicherheitslücken informiert bleiben?
Abonnieren Sie unseren Newsletter und erhalten Sie wichtige Warnmeldungen, Handlungsempfehlungen und Einschätzungen zu aktuellen Cyberrisiken direkt in Ihr Postfach.
Quellen & weiterführende Informationen