Swiss KMU Cyber-Alert: Microsoft SharePoint Server – aktiv ausgenutzte Lücke jetzt prüfen
Microsoft SharePoint Server wird derzeit über die Schwachstelle CVE-2026-65660 angegriffen.
Betroffen sind lokale Installationen von SharePoint Server 2016, 2019 und Subscription Edition. SharePoint Online in Microsoft 365 ist nicht betroffen.
Falls Ihr Unternehmen einen eigenen SharePoint-Server betreibt oder betreiben lässt, sollte Ihr IT-Dienstleister den Patchstand und mögliche Angriffsspuren jetzt prüfen.
Was ist passiert?
CISA hat CVE-2026-65660 am 25. September 2026 in den Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Die Lücke ermöglicht einem bereits angemeldeten Angreifer mit geringen Rechten, Code auf einem betroffenen SharePoint-Server auszuführen; eine weitere Benutzeraktion ist nicht nötig. Microsoft hat die Sicherheitsupdates am 11. August 2026 veröffentlicht.
Könnte mein Unternehmen betroffen sein?
Ja, wenn Sie SharePoint Server 2016, SharePoint Server 2019 oder SharePoint Server Subscription Edition lokal, in einem Rechenzentrum oder über einen IT-Dienstleister betreiben. Häufig dient SharePoint dabei als internes Dokumentenportal, Intranet oder Partnerportal. Wer ausschliesslich SharePoint Online in Microsoft 365 nutzt, ist von dieser Serverlücke nicht betroffen.
Was sollten Sie jetzt tun?
Beauftragen Sie Ihren IT-Dienstleister kurzfristig damit, festzustellen, ob ein lokaler SharePoint-Server vorhanden ist, und den installierten Patchstand auf allen Servern der Farm zu prüfen. Fehlt das Sicherheitsupdate vom 11. August 2026 oder ein neueres kumulatives Update, sollte die Aktualisierung priorisiert werden. Bei Internetzugriff oder verspäteter Aktualisierung sollte zusätzlich auf mögliche Kompromittierung geprüft werden.
Wie dringend ist es?
Hoch. Die Schwachstelle wird nachweislich aktiv ausgenutzt. Betroffene lokale SharePoint-Server sollten jetzt geprüft werden; die reguläre nächste Wartung sollte nicht abgewartet werden.
Informationen für Ihren IT-Dienstleister
CVE-2026-65660: Code Injection / Remote Code Execution, CVSS 8.8; ein authentifizierter Angreifer mit geringen Rechten genügt.
Betroffen: SharePoint Server 2016, SharePoint Server 2019 und SharePoint Server Subscription Edition. SharePoint Online ist nicht betroffen.
Mindestens die Microsoft-Sicherheitsupdates vom 11. August 2026 oder ein neueres kumulatives Update auf allen Farm-Servern installieren und die erfolgreiche Installation verifizieren.
Referenzstände der August-Pakete: Subscription Edition 16.0.19725.20522 (KB5002893), SharePoint 2019 16.0.10417.20198 (KB5002894; Sprachpaket KB5002896), SharePoint 2016 16.0.5561.1001 (KB5002905; Sprachpaket KB5002906).
Bei externer Erreichbarkeit oder später Patchung die Umgebung auf verdächtige SharePoint-/IIS-Aktivitäten und Webshells prüfen.
