Microsoft SharePoint Server: Informationsoffenlegung durch fehlerhafte Autorisierung

Zusammenfassung

CVE-2026-109455 ist eine fehlerhafte Autorisierung (CWE-863) im lokal betriebenen Microsoft SharePoint Server Subscription Edition. Ein authentifizierter Angreifer mit einem gültigen Konto mit niedrigen Berechtigungen im Netzwerk kann Informationen einsehen, auf die er keinen Zugriff haben sollte; die Auswirkung betrifft hoch die Vertraulichkeit. Integrität und Verfügbarkeit sind nicht betroffen, und es ist keine Benutzerinteraktion erforderlich.

Betroffen

• Microsoft SharePoint Server Subscription Edition (lokal betrieben): 16.0.0 vor 16.0.20326.20278
• Unbekannt: SharePoint Server 2019 und 2016 (weder im CVE-Eintrag noch in den Trackern aufgeführt; nicht als nicht betroffen annehmen)
• Unbekannt: SharePoint Online (Microsoft 365)
• Office Online Server ist für diese CVE nicht aufgeführt

Behoben in

• Build 16.0.20326.20278 oder neuer
• Patch: KB 5002945 für SharePoint Server Subscription Edition, identisch mit dem November-2026-CU
• Hinweis: Ist die Farm auf dem September-2025-CU, muss vor der Installation ein PowerShell-Skript zur Korrektur der Ordnerberechtigungen ausgeführt werden, sonst schlägt die Installation fehl. Skript und Schritte vorgängig mit den Angaben von Microsoft abgleichen.

Umgehung

Unbekannt. Es wurde keine CVE-spezifische Workaround- oder Mitigationsmassnahme identifiziert. Die Installation des Fixes ist die empfohlene Massnahme.

Ausnutzung

• Zum Zeitpunkt der Recherche (10. Nov. 2026) wurde kein Hinweis auf Ausnutzung in freier Wildbahn gefunden.
• Nicht im Katalog der CISA KEV aufgeführt (nicht vollständig verifiziert).
• CVSS-Exploit-Reife ist E:U (unbewiesen).
• Öffentlicher Proof of Concept: Unbekannt.

Unsere Empfehlung

• Prüfen, ob lokal betriebenes SharePoint Server Subscription Edition im Einsatz ist, und den Farm-Build gegen 16.0.20326.20278 abgleichen.
• KB 5002945 oder das November-2026-CU im regulären monatlichen Patchzyklus installieren; Priorität mittel.
• Ist die Farm auf dem September-2025-CU, vor der Installation das Problem mit den Ordnerberechtigungen prüfen.
• SharePoint nicht aus dem öffentlichen Internet erreichbar machen und den externen Zugriff auf die Zentraladministration blockieren.
• Konten mit niedrigen Berechtigungen überprüfen, da für die Ausnutzung ein gültiges Konto nötig ist.
• Separat abklären, ob SharePoint 2016/2019 oder Cloud-Mandanten betroffen sind, und das MSRC-Advisory vor Anpassungen an Versionsnummern prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record CVE-2026-109455 www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• Stefan Gossner blog: SharePoint security fixes November 2026 blog.stefan-gossner.com
• OffSeq tracker CVE-2026-109455 radar.offseq.com
• Strix.ai CVE-2026-109455 www.strix.ai
• CISA alert: SharePoint hardening (general, not CVE-specific) www.cisa.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:35.