Manchmal steckt die eigentliche Geschichte nicht in der Lücke selbst, sondern darin, wie sie benannt wurde. Microsoft brachte den Fix für CVE-2026-65660 bereits im August-Patch-Tuesday 2026 — als angeblich harmlose „Spoofing“-Schwachstelle mit einer CVSS-Bewertung von gerade einmal 6,5. Am 11. September änderte Microsoft die Beschreibung still und leise: Aus Spoofing wurde Codeausführung. Und seit dem 24. September wird genau diese Lücke aktiv angegriffen.
VOM „HARMLOSEN TRICK“ ZUR ECHTEN ÜBERNAHME
Ursprünglich hatte Microsoft die Schwachstelle mit einem CVSS-3.1-Basiswert von 6,5 und einem temporären Wert von 5,7 als reine Spoofing-Lücke eingeordnet — also als Problem, bei dem sich höchstens Inhalte fälschen lassen. Die National Vulnerability Database (NVD) sieht das deutlich anders und vergibt 8,8 von 10 möglichen Punkten. Der Grund für die Neubewertung: Es handelt sich tatsächlich um eine Codeeinschleusung („Code Injection“), mit der ein bereits angemeldeter Angreifer mit niedrigen Rechten eigenen Code auf dem Server ausführen kann — ganz ohne weitere Interaktion eines Opfers.
Diese Neueinstufung ist mehr als Kosmetik. Wer Sicherheitslücken nach CVSS-Wert priorisiert — und das tun viele IT-Abteilungen aus gutem Grund automatisiert —, hat diesen Patch bei einer 6,5 vermutlich nicht in der ersten Welle eingespielt. Bei einer 8,8 sähe die Priorität ganz anders aus.
WER BETROFFEN IST
Betroffen sind ausschließlich selbst gehostete Installationen: SharePoint Server 2016, SharePoint Server 2019 und die Subscription Edition. Die Cloud-Variante SharePoint Online taucht in der Liste der betroffenen Produkte nicht auf — wer seine Umgebung vollständig in Microsofts Cloud betreibt, ist hier fein raus.
DIE ANGRIFFE LAUFEN BEREITS
Der Sicherheitsanbieter Previdian beobachtete über eine eigene SharePoint-Attrappe (Honeypot) erste Ausnutzungsversuche ab dem 24. September, zunächst zwölf Anfragen von einer einzelnen IP-Adresse. Microsoft selbst bestätigte: „Zum 25.09.2026 hatte Microsoft belastbare Hinweise auf beobachtete Angriffe gegen die Ausnutzung dieser Schwachstelle.“ Analysten dokumentierten zweistufige Angriffsversuche, bei denen die Lücke mit einem separaten Fehler kombiniert wird, der einen ersten, nicht angemeldeten Zugriff ermöglicht — daraus entsteht ein verschlüsselter Lader, der dem Angreifer dauerhafte Kontrolle über den Server verschaffen soll. Wer genau hinter den Angriffen steckt, ist bislang nicht öffentlich bekannt.
Die US-Behörde CISA nahm die Lücke am 25. September in ihren Katalog aktiv ausgenutzter Schwachstellen auf und setzte US-Bundesbehörden eine Frist bis zum 28. September — die inzwischen verstrichen ist. Insgesamt führt CISAs KEV-Katalog mittlerweile 16 SharePoint-Schwachstellen, davon acht allein aus diesem Jahr 2026.
SO PRÜFST DU DEINEN SERVER
- Patch-Stand checken: Ist der SharePoint-Server auf dem Stand des August-2026-Patch-Tuesdays oder neuer? Wenn nicht, sofort nachziehen.
- Selbst wenn gepatcht: Server auf Webshells und ungewöhnliche neue Dateien im Web-Verzeichnis durchsuchen — ein Patch entfernt keinen Angreifer, der schon vor dem Update hereingekommen ist.
- Zugriffsprotokolle ab dem 24. September auf ungewöhnliche Anfragemuster und neu angelegte Konten mit erhöhten Rechten prüfen.
- Extern erreichbare SharePoint-Server besonders sorgfältig prüfen — sie sind das naheliegendste Ziel für automatisierte Scans.
FAZIT: Ein CVSS-Wert ist nur eine Momentaufnahme
Der Fall zeigt eine unbequeme Wahrheit im Umgang mit Sicherheitslücken: Die ursprüngliche Einstufung eines Herstellers ist kein Naturgesetz, sondern eine Einschätzung zum Zeitpunkt der Veröffentlichung — und die kann sich ändern, sobald mehr über die tatsächliche Ausnutzbarkeit bekannt wird. Wer Patches ausschließlich nach der ersten CVSS-Zahl priorisiert, verpasst womöglich genau die Lücke, die später zum Problem wird. Ein Blick in die Advisory-Beschreibung lohnt sich fast immer mehr als der reine Zahlenwert.