SharePoint-Lücke CVE-2025-53770: Staatshacker ohne Passwort aktiv
Veröffentlicht am: 15.08.2026 um 23:33 Uhr | Redaktion boerse-global.de
In den vergangenen Tagen hat sich die Bedrohungslage für Unternehmen, die Microsoft SharePoint Server einsetzen, deutlich verschärft. Im Zentrum der Warnungen steht die kritische Schwachstelle CVE-2025-53770, die mit einem CVSS-Score von 9.8 als äußerst schwerwiegend eingestuft wird.
Diese Sicherheitslücke ermöglicht unauthentifizierten Angreifern eine Remote-Codeausführung (RCE) über die sogenannte ToolShell-Kette. Während die Lücke bereits seit längerer Zeit bekannt ist, deuten aktuelle Analysen auf eine anhaltende und koordinierte Ausnutzung durch hochprofessionelle Akteure hin.
Ursprung und Entwicklung der Angriffskette
Die Anfänge der ToolShell-Problematik reichen bis in das Frühjahr des vergangenen Jahres zurück. Bereits am 16. Mai 2025 wurde die zugrunde liegende Kette während des Wettbewerbs Pwn2Own in Berlin demonstriert. Wenige Monate später, am 18. Juli 2025, wurde die Schwachstelle erstmals bei Angriffen in freier Wildbahn beobachtet.
Aufgrund der hohen Relevanz für die Cybersicherheit nahm die US-Behörde CISA die Schwachstelle bereits am 20. Juli 2025 in ihren Katalog der bekanntlich ausgenutzten Schwachstellen (Known Exploited Vulnerabilities – KEV) auf.
In jüngerer Zeit haben Sicherheitsforscher von Rapid7 mithilfe eines spezialisierten KI-Agenten weitere Details der Angriffskette aufgedeckt. Dabei zeigt sich, dass CVE-2025-53770 oft im Verbund mit neueren Schwachstellen genutzt wird.
Während staatliche Akteure immer komplexere Angriffsketten nutzen, bleiben auch klassische Methoden wie Phishing eine zentrale Gefahr für die Unternehmenssicherheit. Dieser kostenlose Leitfaden zeigt in vier Schritten, wie Firmen ihre Abwehr strategisch verstärken können. Anti-Phishing-Paket für Unternehmen kostenlos herunterladen
Dazu gehört CVE-2026-55040 mit einem CVSS-Wert von 9.1, die eine Umgehung der Authentifizierung (Authentication Bypass) ermöglicht. Eine weitere Komponente bildet CVE-2026-63520 mit einem Score von 8.1, die ebenfalls zur unauthentifizierten Codeausführung beiträgt.
Aktuelle Angriffswellen und staatliche Akteure
Berichten zufolge hat die Intensität der Angriffe in der letzten Woche massiv zugenommen. Seit dem 19. Juli 2026 wurden mindestens 12 gezielte Exploit-Versuche registriert, wobei die Aktivitäten am 12. und 13. August ihren vorläufigen Höhepunkt erreichten. Diese Angriffe konnten auf acht spezifische IP-Adressen aus fünf verschiedenen Ländern zurückgeführt werden.
Hinter diesen Aktivitäten stehen laut Sicherheitsanalysen staatlich unterstützte Gruppen aus China. Namentlich identifizierten Experten die Akteure Linen Typhoon, Violet Typhoon und Storm-2603 als aktive Nutzer dieser Schwachstellen. Diese Gruppen sind dafür bekannt, kritische Infrastrukturen und Unternehmensnetzwerke für Spionagezwecke zu infiltrieren.
Angesichts der rasanten Entwicklung von KI-gestützten Angriffen und neuen gesetzlichen Anforderungen stehen IT-Verantwortliche vor immer größeren Herausforderungen. Ein aktuelles E-Book liefert fundierte Analysen zu modernen Bedrohungslagen und zeigt kostengünstige Schutzmaßnahmen auf. Gratis E-Book: Cyber Security Trends und Abwehrstrategien
Betroffene Systeme und Schutzmaßnahmen
Die Gefährdungslage ist in der Unternehmenslandschaft weiterhin hoch. Statistiken zeigen, dass etwa 13 % der Cloud-Umgebungen grundsätzlich verwundbar und rund 6 % direkt über das Internet exponiert sind.
Betroffen sind die On-Premise-Versionen SharePoint Server 2016, SharePoint Server 2019 sowie die Subscription Edition. Microsoft betonte in diesem Zusammenhang, dass der Cloud-Dienst SharePoint Online nicht von diesen spezifischen Schwachstellen betroffen sei.
Für die betroffenen Server-Versionen stehen Patches zur Verfügung. Insbesondere das Sicherheitsupdate vom Juli 2026 wird als entscheidend eingestuft, da es die Angriffskette effektiv unterbricht.
Experten raten Administratoren dringend dazu, die bereitgestellten Aktualisierungen zeitnah einzuspielen, um die Systeme gegen die laufenden Angriffswellen der staatlich gesteuerten Gruppen abzusichern. Da die Ausnutzung ohne vorherige Anmeldung erfolgt, stellt jede ungepatchte Instanz ein erhebliches Risiko für die Integrität des gesamten Unternehmensnetzwerks dar.
