Microsoft SharePoint Server: Remote Code Execution durch Deserialisierung

Zusammenfassung

Der lokal betriebene Microsoft SharePoint Server Subscription Edition ist von einer unsicheren Deserialisierung (CWE-502) betroffen, durch die ein berechtigter Angreifer über das Netzwerk Code ausführen kann. Der CVSS-Vektor setzt niedrige Berechtigungen voraus und markiert eine Scope-Änderung, daher könnte jedes kompromittierte, per Phishing erlangte oder selbst registrierte Konto genutzt werden. Das Risiko ist am höchsten, wenn SharePoint aus dem Internet erreichbar ist. Die öffentliche Beschreibung nennt die erforderliche Berechtigungsstufe nicht, deshalb rät die ZDI-Analyse, Standardberechtigungen anzunehmen.

Betroffen

• Microsoft SharePoint Server Subscription Edition (x64), 16.0.0 vor 16.0.20326.20190
• SharePoint 2016 und 2019: Unbekannt. Die CNA-Daten nennen nur Subscription Edition.

Behoben in

• Build 16.0.20326.20190 oder neuer, ausgeliefert mit KB5002927 (kumulatives Update vom Oktober 2026, 13. Oktober 2026)
• Nicht verifiziert: Die CVE-Nummer wurde im geprüften KB-Text nicht bestätigt. Die MSRC-Seite oder die CVE-Tabelle des KB prüfen.

Umgehung

• Keine CVE-spezifische Workaround bekannt. Patchen ist die Behebung.
• Allgemeine CISA-Härtung für SharePoint: SharePoint nicht direkt aus dem Internet exponieren; falls eine Exposition unvermeidbar ist, einen Layer-7-Reverse-Proxy mit Authentifizierung einsetzen; AMSI für jede Webanwendung aktivieren; externen Zugriff auf die Zentraladministration blockieren.

Ausnutzung

• Zum letzten Prüfzeitpunkt nicht im CISA-KEV-Katalog aufgeführt (Drittquelle; bei CISA erneut prüfen).
• EPSS etwa 0.0095 (niedrig).
• Kein öffentlicher Proof of Concept und keine Ausnutzung gefunden.
• Nicht verwechseln mit CVE-2026-45659, einer anderen SharePoint-Deserialisierungs-RCE, die CISA als ausgenutzt führt.

Unsere Empfehlung

• Prüfen, ob ein Kunde SharePoint Server Subscription Edition lokal betreibt.
• KB5002927 (kumulatives Update vom Oktober 2026) einspielen und prüfen, ob der Build 16.0.20326.20190 oder neuer ist.
• Bei Internet-Exposition oder fehlendem Patch hohe Priorität: Exposition zuerst einschränken, dann patchen.
• Konten mit SharePoint-Zugriff prüfen, einschliesslich selbst registrierter und externer Konten, und starke Authentifizierung durchsetzen.
• SharePoint- und IIS-Logs auf ungewöhnliche Anfragen und neue Prozesse des SharePoint-Anwendungspools überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (CVE-2026-105013) msrc.microsoft.com
• Microsoft KB5002927 support.microsoft.com
• Microsoft SharePoint updates (Learn) learn.microsoft.com
• CVE record mirror (Vulners) vulners.com
• CISA: SharePoint hardening alert (July 2026) www.cisa.gov
• Zero Day Initiative October 2026 security update review www.zerodayinitiative.com
• October 2026 CU for SharePoint Server Subscription Edition (Stefan Gossner) blog.stefan-gossner.com
• Senserva KB5002927 summary senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 01:08.