Beschreibung:
Im Rahmen des monatlichen Patchday Advisories hat Microsoft am 14.07.2026 mehrere Schwachstellen für Microsoft Sharepoint Server veröffentlicht:
- CVE-2026-50522 (9.8) - Deserialization of untrusted data in Microsoft Office SharePoint allows an unauthorized attacker to execute code over a network.
- CVE-2026-58644 (9.8) - Deserialization of untrusted data in Microsoft Office SharePoint allows an unauthorized attacker to execute code over a network.
- CVE-2026-55040 (9.1) - Weak authentication in Microsoft Office SharePoint allows an unauthorized attacker to bypass a security feature over a network.
- CVE-2026-56164 (5.3) - Missing authentication for critical function in Microsoft Office SharePoint allows an unauthorized attacker to elevate privileges over a network.
Nach Angaben der CISA wurden die Schwachstellen bereits für Post-Exploitation-Aktivitäten verwendet (CVE-2026-56164 wurde am 14.7.2026 in die Known Exploited Vulnerabilities Liste aufgenommen).
Beobachtet wurden unter anderem Diebstahl von IIS Machine Keys, Deserialisierungsangriffe, Etablierung von Persistenz, Malware-Deployment und Vorbereitung weiterer Angriffe innerhalb der Umgebung.
Das BSI weist zusätzlich darauf hin, dass Angreifer die Schwachstellen zu einer Angriffskette kombinieren können. Insbesondere könnte die bereits aktiv ausgenutzte Privilege-Escalation-Schwachstelle CVE-2026-56164 gemeinsam mit den RCE-Schwachstellen verwendet werden, um Code auf SharePoint-Servern auszuführen.
Betroffene Systeme:
Microsoft SharePoint Enterprise Server 2016 vor 16.0.5561.1001
Microsoft SharePoint Server 2019 vor 16.0.10417.20175
Microsoft SharePoint Server Subscription Edition vor 16.0.19725.20434
Behobene Version:
Microsoft SharePoint Enterprise Server 2016 ab 16.0.5561.1001
Microsoft SharePoint Server 2019 ab 16.0.10417.20175
Microsoft SharePoint Server Subscription Edition ab 16.0.19725.20434
Empfohlene Maßnahmen:
Microsoft empfiehlt die umgehende Umsetzung der bereitgestellten Schutzmaßnahmen zur Absicherung der betroffenen SharePoint-Server.
Microsoft rät in Bezug auf die Schwachstelle CVE-2026-56164 ergänzend dazu, sicherzustellen, dass das Antimalware Scan Interface (AMSI) aktiviert ist und dass dieses den SharePoint und IIS Worker Prozessspeicher scannt. Hierzu soll der "Request Body Scan" Modus auf "Full" eingestellt werden, um Post-Body-Payloads detektieren zu können. Weitere Informationen zur Konfiguration von AMSI finden Sie in der Dokumentation von Microsoft [MSS26c].
Microsoft nennt in den Advisories zu den o.g. Schwachstellen [MSRC26a,b,c,d] keine Workarounds, um die Schwachstellen anderweitig zu schließen.
Einschätzung der Bedrohung:
Die Schwachstelle wird als kritisch eingestuft, da sie in den CISA-Katalog der „Known Exploited Vulnerabilities“ aufgenommen wurde und somit bereits als aktiv ausgenutzt gilt.
Dies unterstreicht die Dringlichkeit, geeignete Schutzmaßnahmen zu ergreifen.
Weiterführende Links:
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-271713-1032.pdf?__blob=publicationFile&v=2
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-56164
https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-urges-sharepoint-hardening-after-new-exploitations
-1.png?width=238&height=69&name=acp_itforinnovators_logo_RGB%20(1)-1.png "Logo | ACP - IT for innovators."){kind=logo}
