SharePoint CVE-2026-65660: erst Spoofing, jetzt aktiv ausgenutzt

Die SharePoint Sicherheitslücke CVE-2026-65660 steht seit dem 25. September 2026 im KEV-Katalog der US-Behörde CISA – sie wird also nachweislich angegriffen. Der Patch liegt seit dem 11. August bereit. Der eigentliche Lehrfall steckt aber dazwischen: Veröffentlicht wurde die Lücke als Spoofing-Problem. Erst zwei Wochen später korrigierte Microsoft still auf Remote Code Execution. Wer in diesen zwei Wochen triagiert hat, hatte eine falsche Zahl im Ticket.

Was passiert ist

Betroffen sind SharePoint Server 2016, SharePoint Server 2019 und die Subscription Edition. Die Zeitleiste, an den Primärquellen nachgezählt:

• 11. August 2026: Patch im August-Sicherheitsupdate, Advisory in Version 1.0 veröffentlicht.
• 27. August 2026: Microsoft aktualisiert Titel, Impact und FAQ des Advisories – laut Revisionshistorie eine „informational change only“. Seitdem heißt die Lücke „Microsoft SharePoint Server Remote Code Execution Vulnerability“, der Impact steht auf Remote Code Execution, der Score bei CVSS 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H).
• 22. September 2026: Dinh Ho Anh Khoa von Viettel Cyber Security veröffentlicht die technischen Details.
• 25. September 2026: Microsoft ergänzt in Revision 1.2, man habe belastbare Hinweise auf beobachtete Angriffe. CISA nimmt die Lücke am selben Tag in den KEV-Katalog auf, Frist für US-Bundesbehörden: 28. September 2026.

Technisch sitzt der Fehler in der Prüfung, ob serverseitige Controls auf der SafeControls-Liste stehen. Beim Verarbeiten von Web-Part-Markup setzt die ToolPane-Komponente Register-Direktiven neu zusammen und schreibt Attributwerte zwischen doppelte Anführungszeichen, ohne enthaltene Anführungszeichen zu maskieren. Darüber lassen sich zusätzliche Direktiven einschleusen und beliebige .NET-Klassen registrieren – nach der Typprüfung, aber vor dem Laden. Die Codeausführung selbst erfolgt dann über eine Deserialisierung mit XamlServices.Parse(). Die NVD ordnet den Eintrag CWE-94 zu, also Code-Injection. Für den Angriff braucht es ein authentifiziertes Konto mit niedrigen Rechten (PR:L).

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Die stille Korrektur ist das eigentliche Problem

Ein Detail verdient Aufmerksamkeit: Microsoft führt die Höherstufung von Spoofing auf Remote Code Execution als rein informative Änderung. Formal stimmt das – am Patch ändert sich nichts. Praktisch ist es das Gegenteil von informativ. Kein Change-Prozess dieser Welt öffnet ein bereits geschlossenes Ticket wieder, weil ein Hersteller vierzehn Tage später den Titel im Portal ändert.

Noch etwas fällt auf: Einen eigenen NVD-Score gibt es für diese Lücke nicht. Die 8.8 sind Microsofts eigene Bewertung, von der NVD als Secondary-Score übernommen. Wer Patch-Priorisierung allein an „dem CVSS-Wert“ aufhängt, hängt sie hier an genau der Quelle auf, die sich schon einmal korrigiert hat.

Das Muster ist bei SharePoint nicht neu. Derselbe Forscher hatte zuvor CVE-2026-55040 offengelegt, das kurz nach Veröffentlichung der Details angegriffen wurde. Erst Analyse, dann Angriffe, dann KEV-Eintrag – in dieser Reihenfolge. Wer auf den KEV-Eintrag als Auslöser wartet, ist strukturell drei bis vier Wochen zu spät.

Was das für dich bedeutet

Aus CISO-Sicht ist die Lehre unbequem: Eine Hersteller-Einstufung ist ein Datenpunkt mit Verfallsdatum, keine Entscheidungsgrundlage. Für die Priorisierung zählt die Fehlerklasse – CWE-94 ist Code-Injection, unabhängig davon, was im Titel steht – und die Exposition des Systems.

On-Premises-SharePoint ist dabei ein besonders lohnendes Ziel. Die Server halten Dokumente, die niemand extern sehen soll, und laufen mit Dienstkonten, die im Active Directory häufig deutlich mehr dürfen als nötig. Eine Codeausführung dort ist selten das Ende eines Angriffs, sondern der Anfang: Zugangsdaten abgreifen, seitlich weiterziehen, Persistenz einrichten.

Gleichzeitig gehört zur ehrlichen Einordnung: Es braucht ein Konto. In einem Intranet mit tausenden Nutzern ist das keine hohe Hürde, aber es ist nicht dasselbe wie ein anonymer Angriff aus dem Internet. Panik ist nicht angebracht – Verschleppen allerdings auch nicht.

Konkrete Schritte für die nächsten Tage

• Patch-Stand prüfen: Liegt auf allen Farmen das Sicherheitsupdate vom 11. August 2026 oder neuer? Einzelne Server in Farmen fallen bei Wellen-Rollouts erfahrungsgemäß durch.
• Dienstkonten härten: Welche Rechte hat das SharePoint-Anwendungspool-Konto im AD tatsächlich? Domänen-Admin-Mitgliedschaften aus Altinstallationen gehören weg – das ist der Unterschied zwischen einem kompromittierten Server und einer kompromittierten Domäne.
• Anonymen Seitenzugriff prüfen: Der Forscher beschreibt eine Verkettung, die auf Web-Anwendungen mit anonymem Zugriff bis zur Ausführung ohne Anmeldung reicht. Dieser Weg sei mit dem Patch vom 9. Juni 2026 geschlossen worden – eine CVE-Nummer nennt er dafür ausdrücklich nicht. Wer anonymen Zugriff nicht braucht, schaltet ihn ab.
• SharePoint 2013 aussortieren: Laut Forscher ebenfalls betroffen, im Microsoft-Advisory nicht gelistet – der Support endete im April 2023, Sicherheitsupdates gibt es keine mehr.
• Triage-Prozess korrigieren: Baue eine zweite Bewertungsquelle ein (NVD-Eintrag und CWE), und prüfe bei Lücken mit Code-Injection-Klasse, ob das Advisory seit der Erstveröffentlichung revidiert wurde. Die Revisionshistorie steht im MSRC-Eintrag.
• Nachsehen, nicht nur patchen: Ein Patch schließt die Lücke, räumt aber nichts auf. Prüfe das SharePoint-Layouts-Verzeichnis auf fremde Dateien und ungewöhnliche Kindprozesse unterhalb von w3wp.exe.

Quellen

• CISA: Known Exploited Vulnerabilities Catalog (Eintrag vom 25.09.2026, Frist 28.09.2026)
• Microsoft MSRC: Advisory zu CVE-2026-65660 inkl. Revisionshistorie
• NVD: CVE-2026-65660
• Viettel Cyber Security: Technische Analyse (22.09.2026)
• The Hacker News: SharePoint Flaw Initially Listed as Spoofing Enables Authenticated RCE (22.09.2026)