Über 1.300 Microsoft SharePoint-Server trotz Patch ungeschützt

Obwohl Microsoft bereits reagiert hat, sind weiterhin über 1.300 Microsoft SharePoint-Server für aktive Angriffe anfällig.

Mehr als 1.300 öffentlich erreichbare Microsoft SharePoint-Server sind nach wie vor für eine kritische Spoofing-Sicherheitslücke anfällig, die bereits aktiv von Bedrohungsakteuren ausgenutzt wird. Obwohl Microsoft im Rahmen des Patch Tuesdays wichtige Sicherheitsupdates veröffentlicht hat, hinkt die praktische Umsetzung in den Unternehmen gefährlich hinterher, berichtet Bleeping Computer. Die unter der Kennung CVE-2026-32201 geführte Schwachstelle ermöglicht es Angreifern, ohne vorherige Privilegien und ohne jegliche Interaktion mit einem Nutzer weitreichende Manipulationen im Netzwerk vorzunehmen. Diese Situation verdeutlicht einmal mehr die gefährliche Diskrepanz zwischen der Bereitstellung technologischer Rettungsanker und deren tatsächlicher Verankerung in der digitalen Infrastruktur von Großunternehmen und Behörden.

Auch SharePoint Server Subscription Edition betroffen

Der technische Kern der Schwachstelle liegt in einer fehlerhaften Validierung von Eingabedaten innerhalb der SharePoint-Architektur. Betroffen sind nicht nur ältere Versionen wie der SharePoint Enterprise Server 2016 und der SharePoint Server 2019, sondern auch die hochmoderne SharePoint Server Subscription Edition, die eigentlich auf einem Modell der kontinuierlichen Aktualisierung basiert. Da der Exploit als „Low Complexity“ eingestuft wird, sind die Hürden für potenzielle Angreifer extrem niedrig. Ein erfolgreicher Angriff erlaubt es den Tätern, die Integrität und Vertraulichkeit von Informationen innerhalb der SharePoint-Umgebung zu kompromittieren. Das bedeutet konkret, dass Hacker sensible Daten einsehen oder sogar manipulieren können, was besonders in kollaborativen Unternehmensumgebungen fatale Folgen für die Entscheidungsprozesse und die Datensicherheit haben kann.

Die Einstufung durch Microsoft als Zero-Day-Lücke unterstreicht die Schwere des Vorfalls, da die Schwachstelle bereits bekannt war und aktiv ausgenutzt wurde, bevor eine offizielle Fehlerbehebung existierte. Bisher hält sich der Software-Gigant jedoch bedeckt, wenn es um die Details der beobachteten Angriffe oder die Identität der dahinterstehenden Hackergruppen geht. Diese Informationslücke wird derzeit von der Internet-Sicherheits-Wachgruppe Shadowserver gefüllt, die eine Statistik veröffentlichte. Laut ihren Daten wurden seit der Veröffentlichung der Patches vor einer Woche weniger als 200 Systeme weltweit abgesichert, während über 1.300 Server weiterhin als verwundbar im öffentlichen Netz sichtbar sind. Dies deutet auf eine gefährliche Trägheit im Patch-Management hin, die in der aktuellen Bedrohungslage als grob fahrlässig eingestuft werden muss.

Klassisches Einfallstor für komplexe Cyberangriffe

Parallel zu den Warnungen der Sicherheitsforscher hat auch die US-amerikanische Cybersicherheitsbehörde CISA reagiert und CVE-2026-32201 in ihren Katalog der bekanntlich ausgenutzten Schwachstellen (Known Exploited Vulnerabilities – KEV) aufgenommen. Diese Maßnahme ist weit mehr als eine bloße Empfehlung; für zivile Bundesbehörden in den USA ist die Behebung dieser Lücke bis zum 28. April 2026 nun gesetzlich verpflichtend. Die CISA warnt eindringlich davor, dass solche Spoofing-Vulnerabilitäten ein klassisches Einfallstor für komplexere Cyberangriffe darstellen und das gesamte föderale digitale Ökosystem gefährden. Sollte eine sofortige Patch-Installation nicht möglich sein, rät die Behörde im Extremfall sogar dazu, die betroffenen Produkte vorübergehend vom Netz zu nehmen, um unkalkulierbare Risiken zu vermeiden.

Die aktuelle Bedrohung durch SharePoint-Exploits steht in einem größeren Kontext einer Serie von Sicherheitsvorfällen. Erst vor einer Woche meldete die CISA eine Eskalation von Privilegien im Windows Task Host, die es Angreifern ermöglichte, SYSTEM-Rechte auf infizierten Geräten zu erlangen. Das Gesamtbild des Patch Tuesdays vom 14. April, bei dem Microsoft insgesamt 167 Sicherheitslücken schloss, zeigt eine besorgniserregende Dichte an kritischen Schwachstellen. Unternehmen, die SharePoint als zentrale Plattform für Dokumentenmanagement und Teamarbeit nutzen, müssen verstehen, dass Spoofing-Angriffe oft nur der erste Schritt einer viel größeren Angriffskette sind. Durch die Manipulation von angezeigten Informationen können Angreifer Mitarbeiter zu weiteren riskanten Handlungen verleiten oder interne Freigabeprozesse unterwandern.

Schnell handeln und Sicherheitsupdates von Microsoft implementieren

Die Komplexität von SharePoint-Farmen führt oft dazu, dass Patches manuell getestet und eingespielt werden müssen, was Zeit kostet, die im Falle eines Zero-Day-Exploits nicht vorhanden ist. Die Diskrepanz zwischen den 1.300 exponierten Servern und den wenigen erfolgreich gepatchten Systemen ist ein deutliches Signal für Hacker, dass die Verteidigungslinien löchrig sind. Der Fokus muss daher auf einer Verkürzung der Reaktionszeiten liegen, um die Integrität der Unternehmensinfrastruktur langfristig zu gewährleisten.

Zusammenfassend lässt sich festhalten, dass CVE-2026-32201 eine gefährlichen Schwachstelle darstellt. Die Kombination aus geringer Komplexität, fehlender Nutzerinteraktion und der bereits laufenden Ausnutzung macht sie zu einer Priorität für jede IT-Abteilung. Administratoren sollten umgehend prüfen, ob ihre SharePoint-Instanzen betroffen sind, und die von Microsoft bereitgestellten Sicherheitsupdates ohne weiteren Verzug implementieren. Der Schutz der Unternehmensdaten und die Aufrechterhaltung des Vertrauens in interne Kommunikationsplattformen hängen davon ab, wie schnell die technischen Warnungen in praktische Schutzmaßnahmen übersetzt werden.