Bei CVE-2026-56164 sollten SharePoint-Administratoren zuerst prüfen, ob ihre lokale Serverversion betroffen ist und ob das passende Sicherheitsupdate für den Juli-Patchday installiert wurde. Eine Rechteausweitung kann dazu führen, dass ein bereits angemeldeter oder anderweitig kompromittierter Zugriff höhere Berechtigungen erhält. Bis die Prüfung abgeschlossen ist, gehören SharePoint-Server besonders eng überwacht und nicht benötigte administrative Zugänge eingeschränkt.
Die genaue Bewertung hängt von der eingesetzten SharePoint-Server-Generation, dem vorhandenen Patchstand, der Farmkonfiguration und den offiziellen Microsoft-Sicherheitsinformationen ab. Da sich Details zu einer neu veröffentlichten CVE ändern können, solltest du die Kennung, die betroffenen Produkte und die verfügbaren Updates direkt im Microsoft Security Response Center sowie im Microsoft Update Catalog abgleichen.
Was hinter einer Rechteausweitung steckt
Eine Rechteausweitung bedeutet, dass ein Angreifer mehr Berechtigungen erlangt, als ihm ursprünglich zustehen. Bei einer SharePoint-Farm ist das besonders relevant, weil dort Dokumente, Websites, Workflows, Dienstkonten und häufig auch Schnittstellen zu anderen Unternehmenssystemen zusammenlaufen.
Die Bezeichnung „kritisch“ beschreibt die Einstufung eines Sicherheitsproblems, ersetzt aber keine Prüfung der eigenen Umgebung. Entscheidend ist, ob die verwendete SharePoint-Server-Version und die installierten Komponenten in der offiziellen Beschreibung tatsächlich genannt werden. Auch eine geschlossene interne Umgebung sollte nicht automatisch als ungefährdet gelten: Angreifer können Schwachstellen über kompromittierte Konten, interne Systeme oder falsch konfigurierte Zugänge ausnutzen.
Betroffenheit der eigenen Farm prüfen
Erfasse zunächst alle SharePoint-Server, die zu deiner Umgebung gehören. Dazu zählen auch Test-, Staging- und ältere Farmen, die noch erreichbar sind. Notiere Produktgeneration, Buildnummer, Serverrolle, Patchstand und die verwendete Datenbankversion. Bei mehreren Servern darfst du dich nicht auf die Anzeige eines einzelnen Knotens verlassen.
Die installierte SharePoint-Version lässt sich je nach Servergeneration unter anderem über die Central Administration, die Liste installierter Updates oder die SharePoint-Verwaltungsshell nachvollziehen. Die sichtbare Produktbezeichnung reicht nicht aus, weil Sicherheitsupdates häufig auf bestimmte Buildstände und Updatepfade abgestimmt sind.
Vergleiche anschließend diese Daten mit der offiziellen CVE-Beschreibung und dem zugehörigen Microsoft-Sicherheitsupdate. Achte dabei auf folgende Punkte:
- Ist deine SharePoint-Server-Version in der Liste der betroffenen Produkte aufgeführt?
- Gilt das Update für deine Sprache, Edition und Farmkonfiguration?
- Welche Knowledge-Base-Nummer und welche Ziel-Buildnummer nennt Microsoft?
- Wird ein vorheriger Patch oder ein bestimmtes Servicing-Level vorausgesetzt?
- Gibt es bekannte Installationsprobleme oder zusätzliche Konfigurationsschritte?
Wenn die offizielle Dokumentation keine eindeutige Zuordnung erlaubt, solltest du die Farm nicht vorschnell als sicher einstufen. Halte den offenen Prüfpunkt fest und kläre ihn mit Microsoft-Support oder dem zuständigen Dienstleister.
Vor dem Sicherheitsupdate eine sichere Grundlage schaffen
Ein SharePoint-Patch ist kein gewöhnlicher Windows-Neustart. Vor der Installation müssen Sicherungen, Wartungsfenster und ein Rückweg geplant werden. Prüfe, ob aktuelle und wiederherstellbare Backups der SharePoint-Inhalte, Konfigurationsdatenbanken und abhängigen Systeme vorhanden sind. Ein Backup gilt erst dann als belastbar, wenn die Wiederherstellung regelmäßig getestet wurde.
Dokumentiere außerdem den Ausgangszustand: aktuelle Builds, installierte Sprachpakete, individuelle Lösungen, Timerjobs, Dienstkonten und besondere Authentifizierungs- oder Proxy-Einstellungen. Diese Informationen helfen, wenn die Farm nach dem Update nicht korrekt arbeitet.
Für eine produktive Umgebung empfiehlt sich ein gestuftes Vorgehen. Aktualisiere zunächst eine möglichst ähnliche Test- oder Staging-Farm. Prüfe dort Anmeldung, Suche, Dokumentbibliotheken, Berechtigungen, Workflows und angebundene Anwendungen. Erst wenn diese Funktionen fehlerfrei laufen, sollte das Wartungsfenster für die Produktionsfarm beginnen.
Patchinstallation in der richtigen Reihenfolge
Verwende ausschließlich das für deine SharePoint-Version vorgesehene Microsoft-Update. Lade es aus einer offiziellen Quelle und prüfe vor der Installation die digitale Signatur sowie die Knowledge-Base-Nummer. Drittanbieter-Downloadseiten und angebliche Ein-Klick-Sicherheitsprogramme gehören nicht in eine Serverumgebung.
Informiere die zuständigen Benutzer und stoppe geplante Änderungen an Websites, Lösungen und Farmkonfigurationen.
Kontrolliere, ob alle Server erreichbar sind, genügend Speicherplatz besitzen und die benötigten Dienstkonten funktionieren.
Installiere die vorgesehenen SharePoint- und gegebenenfalls abhängigen Sicherheitsupdates nach Microsofts Reihenfolge. Vermische dabei nicht blind verschiedene Produktgenerationen oder Patchstände.
Starte die SharePoint-Produkte-Konfigurations- beziehungsweise Farmkonfigurations-Assistenten nur entsprechend der offiziellen Updateanleitung. Ein vorzeitiger oder unvollständiger Lauf kann die Farm in einen uneinheitlichen Zustand bringen.
Überprüfe nach jedem Server die Buildnummer, die Dienste, die Central Administration und die Erreichbarkeit der Webanwendungen.
Teste danach typische Benutzerabläufe und kontrolliere Protokolle, Suchdienst, Timerjobs sowie die Synchronisation mit angebundenen Systemen.
Die genaue Reihenfolge kann sich je nach SharePoint-Server-Version und Updatepaket unterscheiden. Eine allgemeine Befehlsfolge wäre deshalb unsicher. Maßgeblich sind die Installationshinweise des konkreten Microsoft-Pakets.
Bis zur Installation das Risiko begrenzen
Falls das Update nicht sofort eingespielt werden kann, sollte die Übergangslösung aus mehreren Maßnahmen bestehen. Beschränke den externen Zugriff auf SharePoint, entferne nicht benötigte Veröffentlichungen und kontrolliere, welche Konten administrative Rechte besitzen. Besonders wichtig ist die Absicherung von Dienstkonten: Sie sollten nur die Berechtigungen erhalten, die für ihre Aufgabe notwendig sind, und nicht interaktiv für Anmeldungen verwendet werden.
Überprüfe außerdem die Mehrfaktor-Authentifizierung für administrative Zugänge, die Netzwerksegmentierung und die Regeln für Fernzugriffe. Diese Maßnahmen ersetzen den Patch nicht, reduzieren aber die Wahrscheinlichkeit, dass ein kompromittierter Zugang sofort weitreichende Auswirkungen hat.
Eine Deaktivierung einzelner SharePoint-Funktionen solltest du nur vornehmen, wenn Microsoft dafür eine belastbare Übergangsmaßnahme nennt. Ungezielte Änderungen an Web.config-Dateien, Berechtigungen oder Datenbanken können die Farm beschädigen und die spätere Aktualisierung erschweren.
Auf verdächtige Aktivitäten prüfen
Nach Bekanntwerden einer kritischen SharePoint-Schwachstelle genügt es nicht, nur auf eine Fehlermeldung zu warten. Suche in den verfügbaren SharePoint-, IIS-, Windows- und Netzwerkprotokollen nach ungewöhnlichen Administratoranmeldungen, neuen Berechtigungszuweisungen, unerwarteten Änderungen an Websites oder Dateien und unbekannten Prozessstarts.
Vergleiche auffällige Aktivitäten mit Wartungsfenstern und bekannten Administrationsaufgaben. Sichere relevante Protokolle vor einer Bereinigung, damit sie für eine spätere Analyse erhalten bleiben. Bei Hinweisen auf eine Kompromittierung sollte der Server nicht einfach neu installiert oder aus einem Backup überschrieben werden. Trenne betroffene Systeme nach dem Notfallplan vom Netz und schalte die interne IT-Sicherheits- oder Incident-Response-Stelle ein.
Ändere Zugangsdaten erst nach der forensischen Einschätzung und möglichst von einem nachweislich sauberen System aus. Dazu können Farmkonten, Dienstkonten, Administratorkonten und verbundene Anwendungszugänge gehören. Welche Konten betroffen sind, lässt sich nicht pauschal aus der CVE ableiten.
Prüfliste für die SharePoint-Farm
Alle SharePoint-Server und Farmen sind inventarisiert.
Version, Buildnummer und Patchstand wurden je Server erfasst.
Die offizielle CVE- und Updatebeschreibung wurde mit der eigenen Umgebung verglichen.
Ein getestetes Backup und ein dokumentierter Wiederherstellungsweg sind vorhanden.
Eine Testinstallation wurde auf Anmeldung, Suche, Berechtigungen und Workflows geprüft.
Administrative Zugänge, Dienstkonten und externe Zugriffe wurden kontrolliert.
Protokolle und Überwachungsregeln sind für verdächtige Änderungen vorbereitet.
Nach dem Patch wurden Build, Dienste, Webanwendungen und Benutzerfunktionen verifiziert.
Fragen und Antworten zur SharePoint-Sicherheitslücke
Wie erkenne ich, ob meine SharePoint-Farm betroffen ist?
Vergleiche die installierte SharePoint-Version und Buildnummer mit der offiziellen Microsoft-Beschreibung zur CVE. Entscheidend ist nicht nur der Produktname, sondern auch das passende Update und der erforderliche Ausgangsstand.
Reicht ein Windows-Update für die Absicherung aus?
Nein, ein Windows-Update aktualisiert nicht automatisch jede SharePoint-Komponente. Du musst prüfen, ob ein eigenes SharePoint-Sicherheitsupdate vorgesehen ist und ob anschließend ein Farmkonfigurationsschritt verlangt wird.
Kann ich den Patch ohne Administratorrechte installieren?
Für die Installation und die anschließende Farmkonfiguration sind in der Regel weitreichende Berechtigungen auf den betroffenen Servern und in der SharePoint-Farm erforderlich. Verwende dafür ein kontrolliertes Administrationskonto und keine dauerhaft überprivilegierten Benutzerkonten.
Droht bei der Aktualisierung ein Datenverlust?
Ein korrekt geplantes Update sollte SharePoint-Inhalte nicht löschen, dennoch besteht bei Fehlern in der Farm oder bei unvollständigen Sicherungen ein Risiko. Prüfe deshalb vorab die Wiederherstellung und sichere auch abhängige Systeme.
Was mache ich, wenn die Installation fehlschlägt?
Halte die Fehlermeldung, Updateprotokolle und den Farmstatus fest und führe nicht wahllos weitere Reparaturbefehle aus. Prüfe zunächst Speicherplatz, Voraussetzungen, Neustarts und die offizielle Fehlerbehebung für das konkrete Paket.
Wie lange darf die Farm ungepatcht bleiben?
Eine pauschale Frist lässt sich nicht seriös nennen, weil Erreichbarkeit, Datenwert, Bedrohungslage und verfügbare Übergangsmaßnahmen unterschiedlich sind. Plane das Sicherheitsupdate so früh wie möglich und dokumentiere jede Verzögerung samt Schutzmaßnahmen.
Ist ein Neustart der SharePoint-Server ausreichend?
Ein Neustart kann hängende Dienste bereinigen, installiert aber kein Sicherheitsupdate. Nach der Aktualisierung musst du zusätzlich Buildstand, Farmkonfiguration und die wichtigen Benutzerfunktionen prüfen.
Der nächste sinnvolle Schritt
Beginne mit dem Inventar der Farm und dem Abgleich der Buildnummer mit der offiziellen Microsoft-Dokumentation. Wenn die Betroffenheit bestätigt oder nicht eindeutig ausgeschlossen ist, sichere die Umgebung, teste das passende Update und schließe das Wartungsfenster erst nach einer Funktions- und Protokollprüfung.
