Die Schwachstelle CVE-2026-65660 in SharePoint Server wurde am 11. August 2026 gepatcht. Am 25. September hat Microsoft den Eintrag um belastbare Hinweise auf Angriffe ergänzt, und die US-Behörde CISA hat sie am selben Tag als ausgenutzt aufgenommen. Der Artikel zeigt, welche Versionen betroffen sind, welche Builds und Updates den Fehler beheben und was Administratoren nach dem Patch prüfen sollten.
Angreifer nutzen CVE-2026-65660 in SharePoint Server aus, obwohl Microsoft den Fix schon am 11. August geliefert hat. Wer seitdem nicht gepatcht hat, ist in einem Zeitfenster mit bekannten Angriffen. Hier steht, welche Version welches Update braucht und was Du zusätzlich absichern solltest.
Das Wichtigste in Kürze
- Die Lücke wird tatsächlich angegriffen. Microsoft hat den Eintrag am 11. August 2026 veröffentlicht und seither zweimal überarbeitet, zuletzt am 25. September 2026 mit der Aussage, es gebe belastbare Belege für beobachtete Angriffe.
- Ein einfaches Konto reicht aus. Ein angemeldeter Angreifer mit geringen Rechten kann auf dem Server Code ausführen, ohne dass ein Nutzer mitspielen muss. Der CVSS-Wert liegt bei 8.8.
- Für alle drei Versionen gibt es Updates. Es sind SharePoint Server 2016, 2019 und die Subscription Edition betroffen, die Builds stehen weiter unten.
- Mit anderen Lücken wird der Angriff gefährlicher. Das kanadische Cyber Centre warnt vor Ketten, die bei anonymem Zugriff ohne Anmeldung zur Codeausführung führen.
- Die Versionen 2016 und 2019 sind seit Mitte Juli ohne Extended Support. Auf Dauer hilft nur die Migration auf die Subscription Edition.
Was die Lücke kann
Der Eintrag im Security Update Guide von Microsoft beschreibt eine Codeeinschleusung in SharePoint (CWE-94). Ein authentifizierter Angreifer mit geringen Rechten schickt eine präparierte Anfrage über das Netzwerk, und der Server führt fremden Code aus. Eine Aktion des Nutzers braucht es dafür nicht.
Die Einstufung lautet "Important" mit CVSS 8.8. Am 27. August wurden Titel und Auswirkung geändert, laut Microsoft nur zur Information. Am 25. September folgte die Revision 1.2 mit dem Hinweis auf beobachtete Angriffe.
Ein Detail kann verwirren: Das Feld "Exploited" im Datensatz steht bei der Abfrage noch auf "No", die Bewertung auf "Exploitation Less Likely". Verlass Dich deshalb auf den Revisionstext und auf die Warnung der Behörden, nicht auf dieses Feld.
Der zeitliche Ablauf
Die Abfolge zeigt, wie wenig Zeit zwischen Patch und Angriff lag.
| Datum | Ereignis |
|---|---|
| 11. August | Microsoft veröffentlicht den Fix |
| 24. September | Das Cyber Centre warnt vor aktiver Ausnutzung |
| 25. September | Microsoft ergänzt "belastbare Belege", CISA nimmt die Lücke auf |
| 28. September | Frist der CISA für US-Bundesbehörden |
Quellen: Microsoft MSRC, Cyber Centre, CISA-Katalog ausgenutzter Lücken (KEV).
Zudem führt die CISA die Lücke in ihrem Katalog ausgenutzter Schwachstellen (KEV) und verlangt von US-Bundesbehörden, sie bis zum 28. September zu schliessen. Für alle anderen taugt diese Frist von drei Tagen als Richtwert.
SharePoint Server: Betroffene Versionen und Updates
Das Cyber Centre listet die betroffenen Produkte mit den ersten behobenen Builds. Die Paketnummern stammen aus dem Security Update Guide von Microsoft.
| Version | Fix-Build | Update (KB) |
|---|---|---|
| SharePoint Server 2016 | 16.0.5565.1001 | KB5002905, KB5002906 |
| SharePoint Server 2019 | 16.0.10417.20198 | KB5002894, KB5002896 |
| Subscription Edition | 16.0.19725.20522 | KB5002893 |
Microsoft schreibt dazu, dass bei mehreren Paketen alle installiert werden müssen, in beliebiger Reihenfolge. Dieselbe KB-Nummer gilt für SharePoint Server 2016 und für Enterprise Server 2016.
Zudem hängt die Gefahr vom Zugang ab. Das Cyber Centre schreibt, dass die Lücke zusammen mit anderen SharePoint-Fehlern bei anonymem Zugriff die Anmeldung umgehen kann. Bereits im Juli meldete das Fachmedium Cloudswitched zwei ausgenutzte SharePoint-Lücken und einen AD-FS-Fehler, die einen Angriffspfad bis in den Tenant bilden könnten. Wie solche Entwicklungen insgesamt aussehen, steht im Artikel zum Oktober-Patchday.
Was Du jetzt tun solltest
- Build prüfen: Vergleiche die Version Deiner Farm mit der Tabelle oben und spiele fehlende Updates ein, auch alle Pakete einer Version.
- Internetzugang kappen: Das Cyber Centre rät, SharePoint nicht direkt ins Internet zu stellen und die Zentraladministration einzuschränken.
- AMSI aktivieren: Schalte die Anbindung an die Antimalware Scan Interface für Webanwendungen ein und setze den Request Body Scan Mode auf Full Mode.
- Zugriff verschärfen: Entferne inaktive Konten, verlange Multi-Faktor für Administratoren und schalte anonymen Zugriff ab, wo er nicht gebraucht wird.
- Nach Spuren suchen: Prüfe auf Webshells, Änderungen an Webparts, Zugriffe auf die IIS-Maschinenschlüssel und ungewöhnliche Administratoraktionen.
- Migration planen: Für 2016 und 2019 endete der Extended Support im Juli. Die Lifecycle-Seiten von Microsoft nennen als Ende den 15. Juli 2026 (6:59 Uhr Pazifikzeit). Plane den Umstieg auf die Subscription Edition.
Wer lokal auch Exchange betreibt, findet im Artikel zum Aus von Exchange 2016 und 2019 die Lage für den Mailserver.
Fazit
CVE-2026-65660 zeigt, wie schnell aus einem Augustpatch ein Septembernotfall wird. Wer SharePoint lokal betreibt, patcht die genannten Builds, hält die Farm vom Internet fern und sucht gezielt nach Spuren. Für 2016 und 2019 bleibt der Umstieg auf die Subscription Edition die Dauerlösung.
Quellen: Microsoft Security Update Guide, Canadian Centre for Cyber Security, CISA KEV, Microsoft Lifecycle SharePoint 2019, Lifecycle SharePoint 2016, Cloudswitched. Foto: geralt / Pixabay. Stand: 25. September 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.