Was passiert, wenn ein klassisches Intranet-System, das millionenfach Dokumente, Projekte und interne Kommunikation verwaltet, plötzlich aus der Ferne vollständig übernommen werden kann – ohne Passwort, ohne Vorwarnung, mit einem einzigen Netzwerkpaket? Genau diese Frage beschäftigt Sicherheitsteams weltweit seit März 2026, denn die US-Cybersicherheitsbehörde CISA hat eine Schwachstelle in Microsoft SharePoint in ihren Katalog aktiv ausgenutzter Lücken aufgenommen. Die Lücke CVE-2026-20963 erlaubt es unauthentifizierten Angreifern, über ein Netzwerk beliebigen Code auf betroffenen Servern auszuführen. Mit einem CVSS-Base-Score von 9.8 rangiert sie im höchsten Severitätsbereich „Critical“. Auch das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt mit der Referenznummer 2026-238220-1032 vor den Folgen und rät Unternehmen zur sofortigen Prüfung ihrer SharePoint-Landschaft.

Die Gefahr ist nicht theoretisch. CISA listet die Lücke seit dem 18. März 2026 im Known Exploited Vulnerabilities Catalog und gab den US-Bundesbehörden mit dem 21. März 2026 eine sehr kurze Patch-Frist. In der Praxis bedeutet das: Wer heute noch eine verwundbare SharePoint-Installation betreibt, riskiert Datenabfluss, Installation von Hintertüren, Erpressungsversuche oder den Einsatz des Servers als Sprungbrett ins interne Netzwerk. Im Folgenden erklären wir die technische Ursache, zeigen, welche Versionen betroffen sind, und geben konkrete Prüfschritte für Administratoren.

Was ist CVE-2026-20963? – Technische Einordnung

Deserialization of untrusted data als Angriffsvektor

Die Lücke basiert auf unsicherer Deserialisierung, einem der klassischen OWASP-Top-10-Patterns im Bereich Anwendungssicherheit. Ähnliche Deserialisierungsprobleme haben wir bereits im Fall von JetBrains TeamCity CVE-2026-63077 beschrieben. Nach den Daten des National Vulnerability Database (NVD) erlaubt die Schwachstelle in Microsoft Office SharePoint, dass ein nicht autorisierter Angreifer über das Netzwerk Code ausführt. Das zugehörige NVD-JSON-Eintrag beschreibt die Ursache als „Deserialization of untrusted data in Microsoft Office SharePoint allows an unauthorized attacker to execute code over a network“. CISA ergänzt in seinem KEV-Feed, dass es sich um CWE-502 handelt – also die unsichere Deserialisierung von Daten aus nicht vertrauenswürdigen Quellen.

Im Detail nimmt SharePoint an einer Stelle serialisierte Objekte entgegen und deserialisiert sie, ohne ausreichend zu prüfen, aus welcher Klasse sie stammen und welche Methoden sie beim Deserialisierungsprozekt triggern. Ein Angreifer kann so ein bösartiges Objekt konstruieren, das während der Deserialisierung beliebige Aktionen ausführt – etwa Dateien schreiben, Prozesse starten oder eine Reverse-Shell öffnen. Besonders brisant: Laut CISA-SSVC-Daten, die im NVD-Eintrag hinterlegt sind, ist die Lücke automatisch ausnutzbar („automatable: yes“), der technische Impact wird als „total“ eingestuft, und die aktive Ausnutzung ist bestätigt („exploitation: active“). Das erklärt den KEV-Eintrag und die hohe Priorisierung.

Warum der Fehler unauthentifiziert ausgenutzt werden kann

Der entscheidende Unterschied zu vielen anderen SharePoint-Lücken ist der fehlende Authentifizierungszwang. Der CVSS-3.1-Vektor, den Microsoft im NVD gemeldet hat, lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Übersetzt bedeutet das: Angriffe können über das Netzwerk erfolgen (Attack Vector Network), die Komplexität ist niedrig (Attack Complexity Low), keine Privilegien (Privileges Required None) und keine Benutzerinteraktion (User Interaction None) sind nötig, während Vertraulichkeit, Integrität und Verfügbarkeit jeweils als „High“ bewertet werden. Für ein internes Kollaborationssystem, das oft aus dem Internet erreichbar ist oder über VPN/Partnerzugänge angebunden wird, ist diese Kombination besonders problematisch.

Administratoren sollten daher nicht nur die öffentlich erreichbaren SharePoint-Server prüfen, sondern auch interne Instanzen, die aus dem Firmennetz oder über ausgewählte Supplier-Zugänge erreichbar sind. Sobald ein Angreifer einen Fuß in das interne Netzwerk setzt, etwa über einen kompromittierten Endpoint oder einen schwachen VPN-Zugang, wird jede verwundbare SharePoint-Installation zum leichten Ziel.

Betroffene Microsoft SharePoint-Versionen

SharePoint Server 2016, 2019 und Subscription Edition

Laut NVD-CPE-Eintrag sind drei Hauptversionen betroffen. Die genauen Patches und Versionen, ab denen eine Schwachstelle behoben ist, lassen sich der NVD-Konfigurationsdaten entnehmen. Für die Subscription Edition gilt die Schwachstelle für alle Versionen vor 16.0.19127.20442. Für Microsoft SharePoint Server 2016 und 2019 werden die Produkte generell als verwundbar geführt, da Microsoft für diese Produkte kumulative Updates veröffentlicht hat, die den Fix enthalten. Der primäre Microsoft Security Response Center (MSRC)-Eintrag ist daher die maßgebliche Quelle für die jeweils gültige Patch-Ebene.

Administratoren sollten in ihrer Umgebung folgende Produktlinien im Blick haben: Microsoft SharePoint Enterprise Server 2016, Microsoft SharePoint Server 2019 sowie die modernere SharePoint Server Subscription Edition. Nicht betroffen sind SharePoint Online und Microsoft 365-Dienste, da hier Microsoft die Infrastruktur selbst betreibt und zentral patcht. Dennoch ist die Lücke für hybrid arbeitende Unternehmen relevant, die weiterhin On-Premises-Server neben der Cloud betreiben.

Warum On-Premises-Systeme besonders gefährdet sind

Microsoft SharePoint ist kein unbeschriebenes Blatt, wenn es um kritische RCE-Lücken geht. Bereits Anfang 2026 warnte CISA vor der verwandten SharePoint RCE CVE-2026-45659, die ebenfalls aktiv ausgenutzt wurde. CVE-2026-20963 reiht sich in diese Serie ein und zeigt, dass Angreifer Unternehmensportale gezielt ins Visier nehmen. Viele Organisationen fahren Server mit langen Wartungsfenstern, integrieren Drittanbieter-Add-ons oder haben Legacy-SharePoint-Farmen, die nur schwer upgedatet werden können. Genau diese Infrastrukturen sind aber über das Internet oder Partnernetze erreichbar und werden deshalb gezielt gescannt. Security-News-Outlets wie SecurityWeek berichteten bereits im März 2026 über aktive Angriffe auf die Schwachstelle, bevor viele Unternehmen ihre Patch-Zyklen abgeschlossen hatten.

Ein weiterer Risikofaktor ist die Netzwerkposition von SharePoint. Der Server hat oft direkten Zugriff auf Dateiserver, Datenbanken, Active Directory und andere interne Dienste. Ein erfolgreicher RCE-Angriff kann daher schnell zu einer lateralen Bewegung im Netzwerk führen. Das macht CVE-2026-20963 nicht nur zu einer Einzelrisiko-Lücke, sondern zu einem potenziellen Initial-Access-Vektor für größere Kompromittierungen.

CISA KEV und BSI-Reaktion

Aufnahme in den CISA-Katalog am 18. März 2026

CISA hat CVE-2026-20963 am 18. März 2026 in den Known Exploited Vulnerabilities (KEV) Catalog aufgenommen. In unserem Bericht zu CISA KEV: Langflow und Apache Tomcat zeigen wir, wie der US-Behördenkatalog auch für deutsche Unternehmen zur Priorisierung genutzt werden kann. Die „dueDate“ im CISA-Feed lag auf den 21. März 2026 – ein extrem kurzes Zeitfenster von nur drei Tagen für US-Regierungseinrichtungen.

Das schnelle Handeln von CISA zeigt, wie ernst die Lage eingeschätzt wurde. Bereits im Januar 2026 hatte Microsoft mit dem MSRC-Eintrag und den dazugehörigen kumulativen Updates einen Fix veröffentlicht. In unserem Überblick zu Microsoft Patch Tuesday Juni 2026 erklären wir, warum diese regelmäßigen Update-Zyklen für Windows- und Office-Umgebungen unverzichtbar sind. Doch erst der KEV-Eintrag im März machte deutlich, dass Angreifer die Lücke aktiv nutzen. Genau dieses Muster – Patch verfügbar, aber nicht flächendeckend eingespielt – sehen Sicherheitsforscher immer wieder bei hochkritischen SharePoint- und Exchange-Lücken.

BSI-Warnung 2026-238220-1032 für Deutschland

Auch in Deutschland wurde die Gefahr früh erkannt. Das BSI veröffentlichte die Cybersicherheitswarnung mit der Referenznummer 2026-238220-1032, in der es um die aktive Ausnutzung von CVE-2026-20963 in Microsoft SharePoint geht. Die Warnung richtet sich an Behörden, Unternehmen und kritische Infrastrukturen. Sie betont, dass der Patch vom Januar 2026 eingespielt werden muss und betroffene Systeme überprüft werden sollten. Die BSI-Meldung ist damit ein weiterer unabhängiger Beleg für die aktive Bedrohungslage.

Für deutsche Unternehmen ergibt sich aus der BSI-Warnung zusätzlicher Handlungsdruck, wenn sie unter NIS2, KRITIS-Vorgaben oder branchenspezifische regulatorische Anforderungen fallen. Die bloße Kenntnis einer KEV-gelisteten Lücke ohne Abhilfe kann im Ernstfall zu Compliance-Problemen führen. Administratoren sollten daher nicht nur technisch patchen, sondern auch dokumentieren, welche Server geprüft und auf welchen Stand gebracht wurden.

Exploitation und reale Gefährdung

Typische Angriffsabläufe auf SharePoint

Ein erfolgreicher Angriff auf CVE-2026-20963 beginnt in der Regel mit einer Netzwerkverbindung zum SharePoint-Server. Der Angreifer sendet eine speziell präparierte Anfrage, die das Deserialisierungs-Verhalten auslöst. Da keine Authentifizierung erforderlich ist, reicht es aus, den Endpunkt über HTTP oder HTTPS zu erreichen. Sobald die bösartige Payload deserialisiert wird, führt sie zur Code-Ausführung im Kontext des SharePoint-Anwendungspools – meist mit erheblichen Rechten auf dem Server. Wir haben die Gefahr unauthentifizierter RCE-Lücken zuletzt bei Laravel Livewire CVE-2025-54068 beleuchtet.

Anschließend können Angreifer typischerweise: Web-Shells ablegen, zusätzliche Hintertüren installieren, sensible Dokumente und Konfigurationsdateien auslesen, Anmeldedaten aus Speicher oder Datenbanken extrahieren, oder den Server als Pivot für Angriffe auf andere Systeme nutzen. Besonders heikel ist der Zugriff auf die SharePoint-Konfigurationsdatenbank, die oft Informationen über Dienstkonten und verknüpfte Systeme enthält. Ein einzelner kompromittierter SharePoint-Server kann so schnell zu einem vollständigen Netzwerk-Zugriff eskalieren.

Warum auch kleinere Unternehmen betroffen sind

Oft wird angenommen, dass hochkritische CVEs nur Großunternehmen und Regierungsbehörden betreffen. Das Gegenteil ist der Fall. Mittelständische Unternehmen und Kommunen betreiben häufig einen einzelnen SharePoint-Server, der aus Kostengründen direkt aus dem Internet erreichbar ist oder über einen einfachen VPN-Zugang verfügt. Diese Systeme werden automatisiert gescannt und als Ziele für Ransomware-Gruppen oder Initial-Access-Broker genutzt.

Laut der Sicherheitsplattform runZero – die im Sommer 2026 erneut über die Bedeutung der Schwachstelle berichtete – ist das Finden verwundbarer SharePoint-Assets eine der wichtigsten Aufgaben für IT-Teams. Wer nicht genau weiß, welche Server in welcher Version laufen, verschenkt Reaktionszeit. In der Praxis zeigt sich immer wieder, dass abgeschaltete, vergessene oder Test-Instanzen den Angriffseintritt ermöglichen.

Mitigation: Sofortmaßnahmen für Administratoren

1. Patch-Stand prüfen und aktualisieren

Die zentrale und wirksamste Maßnahme ist das Einspielen des von Microsoft bereitgestellten Sicherheitsupdates. Der MSRC-Eintrag listet die betroffenen KB-Artikel und Build-Nummern. Für die Subscription Edition sollte mindestens Build 16.0.19127.20442 erreicht sein. Bei älteren Versionen müssen die kumulativen Updates des jeweiligen Patch Tuesday vom Januar 2026 oder später eingespielt werden. Nach dem Update sollte die Server-Version über die Zentraladministration oder PowerShell geprüft werden.

Wichtig: Ein einfaches Windows-Update reicht nicht immer aus. SharePoint benötigt oft ein spezifisches kumulatives Update, das manuell heruntergeladen und über die SharePoint-Produkte- und Technologiekonfigurations-Assistenten eingespielt werden muss. Administratoren sollten vor dem Update die Farm-Konfiguration sichern und einen Testlauf in einer Nicht-Produktionsumgebung durchführen, um Add-ons und Workflows zu validieren.

2. Netzwerksegmentierung und Zugriffsbeschränkung

Bis zum Patch oder als zusätzliche Sicherheitsschicht sollte der Zugriff auf SharePoint-Admin-Endpunkte und nicht zwingend öffentliche Seiten eingeschränkt werden. Idealerweise steht der Server nicht direkt im Internet, sondern hinter einem Reverse-Proxy, einer Web Application Firewall (WAF) oder einem VPN-Gateway. IP-Whitelisting für Verwaltungs-URLs, das Deaktivieren nicht benötigter Webdienste und die Trennung von SharePoint-Servern in ein eigenes VLAN reduzieren das Angriffsrisiko spürbar.

Zusätzlich empfehlen sich Maßnahmen wie die Überwachung ungewöhnlicher POST-Anfragen an SharePoint-Endpunkte, das Aktivieren erweiterter Protokollierung in IIS und die Auswertung von SharePoint-ULS-Logs. Wer bereits ein SIEM oder eine EDR-Lösung betreibt, sollte entsprechende Detection-Regeln für die typischen Deserialisierungs-Angriffsmuster aufbauen. Auch wenn diese Regeln keine 100-prozentige Sicherheit bieten, können sie frühzeitig Indikatoren für einen Versuch erkennen.

3. Inventarisierung und Überprüfung aller Instanzen

Viele Organisationen haben nicht nur einen, sondern mehrere SharePoint-Server: Produktion, Test, Entwicklung, Archiv, alte Migrationen. Gerade Test- und Staging-Systeme werden oft mit produktiven Daten gefüllt und vergessen. Jede dieser Instanzen, die aus dem Netzwerk erreichbar ist, stellt ein potenzielles Ziel dar. Administratoren sollten daher eine vollständige Inventarisierung durchführen und für jede Instanz dokumentieren: Produktversion, letztes Update, Netzwerk-Erreichbarkeit, Verantwortlicher, geplanter nächster Patch-Termin.

Tools wie runZero oder andere CAASM-Plattformen können hierbei helfen, auch Shadow-IT-Instanzen aufzuspüren. Wer kein kommerzielles Tool nutzt, kann zumindest Netzwerkscans über bekannte SharePoint-Ports (TCP 80/443), SSL-Zertifikats-Inventare und DNS-Einträge auswerten. Ziel ist es, keine verwundbare Instanz zu übersehen.

Fazit und Handlungsempfehlung

CVE-2026-20963 zeigt erneut, wie gefährlich eine scheinbar „klassische“ Deserialisierungslücke in weit verbreiteter Unternehmenssoftware sein kann. Mit einem CVSS-Base-Score von 9.8 von 10, unauthentifiziertem Netzwerkzugriff und aktiver Ausnutzung in freier Wildbahn erfüllt sie alle Kriterien einer Hochrisiko-Schwachstelle. Die Aufnahme in den CISA KEV-Katalog am 18. März 2026 und die BSI-Warnung 2026-238220-1032 unterstreichen, dass Unternehmen unverzüglich handeln sollten.

Administratoren sollten jetzt folgende Schritte umsetzen: Den Patch-Stand aller SharePoint-Server prüfen, das entsprechende Microsoft-Update einspielen, den externen und internen Zugriff auf das notwendige Minimum reduzieren, alle SharePoint-Instanzen inventarisieren und die Logs auf Angriffsindikatoren überwachen. Wer noch keinen festen Patch-Termin hat, sollte diesen innerhalb der nächsten 72 Stunden planen. Denn sobald ein Angreifer die Lücke ausnutzt, ist der Schaden oft schnell größer als der Aufwand für ein rechtzeitiges Update.