Aktive Ausnutzung erhöht die Priorität
Microsoft führt CVE-2026-56164 als aktiv ausgenutzt. Die Schwachstelle betrifft lokale Installationen von SharePoint Enterprise Server 2016, SharePoint Server 2019 und SharePoint Server Subscription Edition. Fehlende Authentifizierung für eine kritische Funktion ermöglicht einem nicht authentifizierten Angreifer eine Privilegienerweiterung über das Netzwerk. Der Angriff erfordert weder Benutzerinteraktion noch besondere Vorbedingungen.
Der CVSS-Basiswert von 5,3 und die Einstufung als „Moderate“ sollten die Bearbeitung nicht verzögern. Für exponierte oder aus dem Unternehmensnetz erreichbare Farmen ist der bestätigte Exploit-Status ausschlaggebend. SharePoint Online ist von diesem On-Premises-Hinweis nicht betroffen.
Diese Farmstände schließen die Lücke
Die Sicherheitsupdates vom 14. Juli 2026 müssen auf jedem SharePoint-Server der Farm installiert werden:
- SharePoint Server 2016: KB5002891 und das sprachabhängige Paket KB5002892, Build
16.0.5561.1001. - SharePoint Server 2019: KB5002883 und das sprachabhängige Paket KB5002885, Build
16.0.10417.20175. - SharePoint Server Subscription Edition: KB5002882, Build
16.0.19725.20434.
Bei SharePoint 2016 und 2019 sind das sprachunabhängige und das sprachabhängige Paket auch auf englischen Installationen erforderlich, damit die Farm vollständig aktualisiert ist. Nach der Installation muss der SharePoint Products Configuration Wizard beziehungsweise PSConfig erfolgreich auf allen Farmservern abgeschlossen werden. Erst danach sollten Teams Buildstand, Farmstatus, Suchdienst, Workflows und veröffentlichte Webanwendungen prüfen.
Vor dem Wartungsfenster sind die versionsspezifischen Hinweise der jeweiligen KB zu prüfen. Bei Einsatz von SharePoint Workflow Manager muss KB5002799 vor dem SharePoint-Update installiert sein. Die Juli-Pakete dokumentieren außerdem wiederholte Anmeldungen in Multi-WFE-Farmen mit Trusted Provider oder Forms Authentication, ein Office-Online-Server-Problem unter SharePoint 2016 und einen zusätzlichen Post-PSConfig-Schritt für Subscription Edition. Diese Punkte gehören in Pilot-, Rollback- und Funktionstest; Schutzparameter sollten nicht als Schnellfix deaktiviert werden.
AMSI ergänzt den Patch, ersetzt ihn aber nicht. Die SharePoint-Integration mit einem kompatiblen Antimalware-Provider muss aktiv Anfragen prüfen. Der von Microsoft als zusätzliche Mitigation genannte Modus Request Body Scan: Full Mode steht nur in SharePoint Server Subscription Edition ab Version 25H1 bereit und sollte dort für alle relevanten Webanwendungen kontrolliert aktiviert und getestet werden.
2016 und 2019 brauchen jetzt einen Migrationspfad
SharePoint Server 2016 und 2019 haben ihr Supportende im Juli 2026 erreicht. Der Juli-Patch ist damit die unmittelbare Absicherung, aber keine tragfähige Betriebsstrategie für die nächsten Monate. Weiterbetrieb ohne unterstützten Upgradepfad führt bei der nächsten Schwachstelle zu einem nicht mehr verlässlich schließbaren Risiko. Für lokale Farmen ist die Migration auf SharePoint Server Subscription Edition zu planen; nicht mehr benötigte Farmen sollten kontrolliert stillgelegt werden.
War eine extern erreichbare Farm nach dem 14. Juli ungepatcht, reicht die reine Aktualisierung nicht aus. IIS-, ULS-, Windows- und Security-Telemetrie sollten erhalten und auf unerwartete Zugriffe, Konfigurationsänderungen, neue Konten und manipulierte Inhalte geprüft werden. Bei Auffälligkeiten ist die Farm als Incident zu behandeln und nicht lediglich neu zu starten.
Der unmittelbare Check: Buildstand jedes Farmservers erfassen, fehlende Juli-Pakete vollständig installieren, PSConfig abschließen und für SharePoint 2016 oder 2019 einen verbindlichen Migrations- oder Stilllegungstermin festlegen.