Angreifer nutzen eine Schwachstelle in Microsoft SharePoint Server aus, für die es seit dem August-Patchday ein Update gibt. Microsoft hat seinen Eintrag am 25.09.2026 aktualisiert und bestätigt Angriffe. Die US-Behörde CISA hat die Lücke am selben Tag in ihren Katalog ausgenutzter Schwachstellen aufgenommen.

Was ist passiert?

CVE-2026-65660 ist eine Code-Injection-Lücke in SharePoint-Servern, die im eigenen Rechenzentrum laufen. Ein angemeldeter Angreifer mit niedrigen Rechten kann den Server mit einer speziell präparierten Anfrage dazu bringen, Schadcode auszuführen. Die Lücke hat einen CVSS-Wert von 8.8. Microsoft hat sie mit dem August-Patchday 2026 geschlossen.

Die Einstufung hat sich verschoben. Microsoft hatte die Lücke zunächst als Spoofing-Problem mit mittlerem Schweregrad geführt und den Missbrauch für weniger wahrscheinlich gehalten. Später stufte das Unternehmen sie als Lücke zur Codeausführung mit hohem Schweregrad ein. Am Freitag, 25.09.2026, ergänzte Microsoft im Advisory, dass verlässliche Belege für beobachtete Angriffe vorliegen. Details zu den Angriffen nennt Microsoft nicht.

Zwischen Patch und Angriffen lagen rund sechs Wochen. Die Angriffe begannen kurz nachdem Viettel Security, deren Forscher die Lücke an Microsoft gemeldet hatten, technische Details veröffentlicht hatte. Der Dienst Previdian beobachtete am 24.09.2026 erste Ausnutzungsversuche und am 25.09.2026 Versuche, eine Webshell als Hintertür anzulegen. Wer hinter den Angriffen steckt, ist bislang unklar.

Wer ist betroffen?

Betroffen sind Organisationen, die SharePoint Server selbst betreiben und den August-Patch noch nicht eingespielt haben. Welche Versionen und Builds genau gepatcht sind, steht im Microsoft-Advisory zu CVE-2026-65660.

Der Angreifer braucht ein gültiges Konto mit niedrigen Rechten. Das kann auch ein gestohlenes Konto sein. Für Angriffe ganz ohne Anmeldung müsste die Lücke laut SecurityWeek mit einer weiteren Schwachstelle zur Umgehung der Authentifizierung kombiniert werden.

Warum ist das ernst?

SharePoint steht regelmäßig im Visier von Angreifern. Im Katalog der CISA stehen inzwischen 16 SharePoint-Schwachstellen, acht davon wurden in diesem Jahr entdeckt und gepatcht. Auf einem SharePoint-Server liegen oft viele interne Dokumente, und der Server kann als Einstiegspunkt ins Netz dienen.

Die CISA hat Bundesbehörden eine Frist bis zum 28.09.2026 gesetzt und verlangt zusätzlich eine forensische Untersuchung. Das ist ein deutlicher Hinweis: Patchen allein reicht nicht, wenn ein Server schon angegriffen worden sein könnte.

Auch aktuell: MikroTik RouterOS

Die CISA hat am 25.09.2026 zusammen mit der SharePoint-Lücke auch CVE-2026-67279 in MikroTik RouterOS aufgenommen. Die Schwachstelle im SSH-Code erlaubt Angreifern ohne Anmeldung, Dateien zu erstellen, zu überschreiben oder wiederherzustellen (CVSS 4 6.9). Korrigiert ist sie in den Versionen 7.25 Beta 3, 7.24.2, 7.23.4 und 6.49.21. Das CERT.pl hatte Anfang September bereits vor der Angriffskette MikroTrick gewarnt, die CVE-2026-67279 und CVE-2026-86060 kombiniert.