SharePoint on-premises bleibt im Fadenkreuz: Neue RCE-Kette (CVE-2026-63520) mit KI-Unterstützung entdeckt

Ein Jahr nach ToolShell – warum lokale SharePoint-Farmen weiter Chefsache sind

Der August-Patchday schließt mit CVE-2026-63520 eine weitere Remote-Code-Execution-Lücke in SharePoint Server – und die hat es in sich: In Kombination mit einem JWT-Authentifizierungs-Bypass (CVE-2026-55040) wird daraus eine unauthentifizierte RCE-Kette. Bemerkenswert ist auch der Weg zur Entdeckung: Rapid7 fand die Lücke mit KI-Unterstützung. Ein Jahr nach dem ToolShell-Desaster bleibt lokales SharePoint damit eines der lohnendsten Ziele für Angreifer.

⚡ Sofortmaßnahme: Installieren Sie die August-2026-Sicherheitsupdates auf allen On-Premises-SharePoint-Servern (auch Project Server und Office Web Apps). Rotieren Sie nach dem Patch die ASP.NET-Machine-Keys – nach den ToolShell-Erfahrungen gehört das zum Pflichtprogramm.

Die Lücke im Detail

CVE-2026-63520 steckt in den Business Connectivity Services und beruht auf einer unsicheren .NET-Typ-Instanziierung – klassische unzureichende Eingabevalidierung (CWE-20). Für sich genommen setzt die Lücke Authentifizierung voraus. Der eigentliche Sprengstoff entsteht in der Verkettung: Zusammen mit dem im Juli offengelegten JWT-Bypass CVE-2026-55040 entfällt die Authentifizierung, und ein Angreifer erreicht die RCE komplett unauthentifiziert.

CVE	Rolle in der Kette	CVSS
CVE-2026-55040	JWT-Authentifizierungs-Bypass (Stufe 1)	–
CVE-2026-63520	RCE via Business Connectivity Services (Stufe 2)	8.1 (Hoch)

Betroffen sind SharePoint Server Subscription Edition, 2019 und 2016 sowie Project Server und Office Web Apps Server. Microsoft verteilt die Fixes über mehrere KBs (u. a. KB5002893, KB5002894, KB5002896, KB5002905, KB5002906). SharePoint Online in Microsoft 365 ist nicht betroffen – es geht ausschließlich um On-Premises-Farmen.

Interessant am Rande: Rapid7 fand die Kette mit einem KI-Agenten, der von einem menschlichen Experten geführt wurde – rund 80.000 Tool-Aufrufe über 24 Tage. Offensive KI-gestützte Schwachstellensuche ist keine Zukunftsmusik mehr, sondern liefert bereits reale RCEs. Für Verteidiger heißt das: Das Zeitfenster zwischen Patch und Massen-Exploit wird tendenziell kürzer.

Die Lehren aus ToolShell gelten weiter

Nach der ToolShell-Welle 2025 (rund um CVE-2025-53770) ist bekannt: Ein bloßes Patchen reicht bei SharePoint oft nicht. Angreifer stehlen die kryptografischen Machine-Keys der Farm und können damit auch nach dem Update weiter gültige Payloads signieren. Deshalb gehört nach jedem sicherheitskritischen SharePoint-Patch die Rotation der ASP.NET-Machine-Keys mit anschließendem IIS-Neustart dazu – sonst bleibt eine kompromittierte Farm trotz aktuellem Patch-Stand offen.

Was Sie jetzt tun sollten

August-Updates einspielen: Auf allen SharePoint-, Project- und Office-Web-Apps-Servern der Farm.
Machine-Keys rotieren: Nach dem Patch Update-SPMachineKey ausführen bzw. die Keys erneuern, danach IIS neu starten.
Kompromittierung prüfen: Nach verdächtigen ASPX-Dateien im LAYOUTS-Verzeichnis, ungewöhnlichen w3wp-Prozessen und unerwarteten ausgehenden Verbindungen suchen.
Exposition reduzieren: On-Prem-SharePoint möglichst nicht ungefiltert ins Internet stellen – vorgelagerte Authentifizierung (z. B. Reverse Proxy mit MFA) einziehen.
AMSI aktivieren: Die SharePoint-AMSI-Integration einschalten – sie hat schon bei ToolShell einen Teil der Angriffe abgefangen.

Fazit

SharePoint on-premises bleibt ein Dauerbrenner der Angriffsstatistik – komplex, tief in Geschäftsprozesse verwoben und schwer abzulösen. CVE-2026-63520 zeigt, dass die RCE-Kette dieselbe bleibt: Auth-Bypass plus Deserialisierungs-/Instanziierungsfehler ergibt unauthentifizierten Vollzugriff. Wer noch eigene Farmen betreibt, sollte den August-Patch nicht als Routine abtun, sondern die vollständige Reaktion fahren – Patch, Key-Rotation, Kompromittierungsprüfung. Und mittelfristig die ehrliche Frage stellen, ob die Farm wirklich noch on-premises stehen muss.

Ob Ihre SharePoint-Server auf dem aktuellen Stand sind und keine bekannten RCE-Lücken mehr offen haben, verrät Ihnen der ISW CVE Vulnerability Scanner – farmweit und mit klarer Priorisierung.