Aktive Angriffe auf Sicherheitslücke in Microsoft SharePoint

Veröffentlicht am: 30. September, 2026

Eine bereits im August geschlossene Sicherheitslücke in Microsoft SharePoint Server wird inzwischen aktiv von Angreifern ausgenutzt. Die Schwachstelle mit der Kennung CVE-2026-65660 wird mit einem CVSS-Wert von 8,8 von 10 als hohes Sicherheitsrisiko eingestuft. Die US-amerikanische IT-Sicherheitsbehörde CISA hat die Schwachstelle aufgrund beobachteter Angriffe inzwischen in ihren Katalog aktiv ausgenutzter Sicherheitslücken aufgenommen.

Betroffen sind Microsoft SharePoint Enterprise Server 2016, SharePoint Server 2019 und SharePoint Server Subscription Edition. Microsoft hat entsprechende Sicherheitsupdates bereits am 11. August 2026 veröffentlicht.

Bei CVE-2026-65660 handelt es sich um eine sogenannte Code-Injection-Schwachstelle. Angreifer, die bereits über ein Benutzerkonto mit niedrigen Zugriffsrechten auf einem betroffenen SharePoint-Server verfügen, können die Schwachstelle über das Netzwerk ausnutzen und eigenen Programmcode auf dem Server ausführen. Eine weitere Interaktion durch Nutzer ist dafür nicht erforderlich. Ein erfolgreicher Angriff kann dadurch die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems und der darauf gespeicherten Daten gefährden.

Da die Schwachstelle mittlerweile aktiv ausgenutzt wird, sollten Betreiber betroffener SharePoint-Server dringend prüfen, ob die entsprechenden Sicherheitsupdates beziehungsweise neuere kumulative Updates installiert wurden.

SiBa empfiehlt

Installieren Sie für SharePoint Server verfügbare Sicherheitsupdates so schnell wie möglich.
Prüfen Sie regelmäßig, ob für eingesetzte Software neue Sicherheitsupdates bereitstehen.
Kontrollieren Sie insbesondere öffentlich erreichbare Systeme regelmäßig auf verdächtige Aktivitäten und mögliche Angriffsversuche.
Besteht der Verdacht auf eine Kompromittierung, sollte das betroffene System von der zuständigen IT-Abteilung oder IT-Sicherheitsexpert untersucht werden.

Wer kann mir helfen?

SharePoint-Updates – Office release notes | Microsoft Learn

Hinweise zum Sicherheitsupdate für SharePoint Server-Abonnementedition: 11. August 2026 (KB5002893) | Microsoft Support

Wie schütze ich mich?

Updates • Digitalführerschein (DiFü)

BSI – Technische Sicherheitshinweise

Quelle der Meldung: Angriffe auf Microsoft-SharePoint-Schwachstelle | heise online

Alle sehen

09.09.2026

Microsoft schließt zahlreiche Sicherheitslücken – zwei Zero-Day-Lücken werden bereits ausgenutzt

Microsoft hat zum September-Patchday eine außergewöhnlich große Zahl an Sicherheitslücken in seinen Produkten geschlossen. Betroffen sind unter anderem Windows, Microsoft Office, Exchange Server, Hyper-V, Windows Defender, Visual Studio, Skype for Business sowie weitere Microsoft-Produkte und -Dienste. Besonders dringlich sind zwei Zero-Day-Schwachstellen in Windows, die bereits für Angriffe ausgenutzt werden. CVE-2026-81963 betrifft den Windows Update Stack und ermöglicht Angreifer:innen unter bestimmten Voraussetzungen, ihre Berechtigungen auf einem betroffenen System auszuweiten. Die zweite aktiv ausgenutzte Schwachstelle, CVE-2026-85880, befindet sich in Windows Advanced Local Procedure Call (ALPC) und kann ebenfalls zur Ausweitung von Berechtigungen genutzt werden. Darüber hinaus wurden zahlreiche weitere kritische Sicherheitslücken geschlossen, über die Angreifer:innen beispielsweise Schadcode aus der Ferne ausführen können. Besonders schwerwiegend ist CVE-2026-69525 in den Windows Remote Desktop Services. Die Schwachstelle erreicht einen CVSS-Wert von 9,8 von 10 und kann von nicht authentifizierten Angreifer:innen über das Netzwerk ausgenutzt werden, ohne dass eine Interaktion der Nutzer:innen erforderlich ist. Eine aktive Ausnutzung dieser Schwachstelle ist bislang nicht bekannt. Aufgrund der bereits laufenden Angriffe auf zwei der Schwachstellen sollten Privatnutzer:innen, Unternehmen und Organisationen die von Microsoft bereitgestellten Sicherheitsupdates möglichst zeitnah installieren. SiBa empfiehlt:

Installieren Sie die aktuellen Microsoft-Sicherheitsupdates möglichst zeitnah auf allen betroffenen Geräten und Systemen.
Aktivieren Sie automatische Updates und prüfen Sie regelmäßig, ob Betriebssystem und Programme aktuell sind.
Starten Sie Geräte nach der Installation neu, wenn dies zum Abschluss des Updates erforderlich ist.
Unternehmen sollten insbesondere geschäftskritische Systeme auf einen aktuellen Patchstand bringen und auf ungewöhnliche Aktivitäten prüfen.

Wer kann mir helfen? Windows Update-Problembehandlung - Microsoft-Support Leitfaden für Sicherheitsupdates – Microsoft Wie schütze ich mich? Updates • Digitalführerschein (DiFü) Windows Update: FAQ | Microsoft Support Quelle der Meldung: Microsoft schließt Rekordzahl an Sicherheitslücken | heise online

17.08.2026

Kritische SAP-Commerce-Cloud-Lücke wird bereits angegriffen

Eine kritische Sicherheitslücke in SAP Commerce Cloud, früher auch als SAP Hybris bekannt, wird bereits für Angriffsversuche ausgenutzt. Betroffen ist die E-Commerce-Plattform, die unter anderem als technische Grundlage für Onlineshops eingesetzt wird. Für die Schwachstelle CVE-2026-58231 steht seit dem SAP-Patchday vom 11. August 2026 ein Sicherheitsupdate bereit. Die Lücke erreicht mit einem CVSS-Wert von 10,0 die höchstmögliche Risikobewertung. Angreifer können die Schwachstelle über das Netzwerk ausnutzen, ohne sich zuvor am System anmelden zu müssen. Auch eine Interaktion durch Nutzer ist für einen Angriff nicht erforderlich. Über einen standardmäßig vorhandenen Authentifizierungsclient können speziell präparierte Eingaben an Funktionen übermittelt werden, die diese nicht ausreichend überprüfen. Bei einem erfolgreichen Angriff können Angreifer dadurch beliebigen Schadcode ausführen und interne Komponenten der Anwendung kompromittieren. Besonders kritisch ist, dass bereits wenige Tage nach Veröffentlichung des Updates erste Angriffsversuche beobachtet wurden. Sicherheitsforscher von Defused registrierten am 14. August 2026 entsprechende Aktivitäten auf Honeypot-Systemen. SAP bestätigte, über die Meldungen informiert zu sein und diese zu untersuchen. Die potenzielle Angriffsfläche ist erheblich: Nach Scans der Shadowserver Foundation sind weltweit rund 4.300 SAP-Commerce-Cloud-Systeme über das Internet erreichbar, davon etwa 2.400 in Europa und etwas mehr als 100 in Deutschland. Daraus lässt sich allerdings nicht ableiten, wie viele dieser Systeme tatsächlich verwundbar oder bereits aktualisiert sind. Zudem können sich unter den erfassten Systemen auch Honeypots befinden. SiBa empfiehlt

Installieren Sie die von SAP bereitgestellten Sicherheitsupdates für betroffene SAP-Commerce-Cloud-Systeme umgehend.
Prüfen Sie Systeme zusätzlich auf Anzeichen einer möglichen Kompromittierung – insbesondere, wenn sie vor dem Update aus dem Internet erreichbar waren.
Halten Sie geschäftskritische Systeme und Anwendungen grundsätzlich auf einem aktuellen Sicherheitsstand.
Ziehen Sie bei verdächtigen Aktivitäten interne IT-Sicherheitsverantwortliche oder spezialisierte Dienstleister hinzu.