Microsoft Office SharePoint: Remote Code Execution durch Deserialisierung

Zusammenfassung

Eine Schwachstelle bei der Deserialisierung in Microsoft Office SharePoint erlaubt einem berechtigten Angreifer, über das Netzwerk Code auf dem Server auszuführen. Gemäss den CNA-Daten ist nur SharePoint Server Subscription Edition als betroffen aufgeführt. Der CVSS-Vektor setzt niedrige Privilegien und keine Benutzerinteraktion voraus, weshalb ein kompromittiertes Benutzerkonto für einen Angriffsversuch ausreichen kann.

Betroffen

• Microsoft SharePoint Server Subscription Edition, Versionen 16.0.0 bis unter 16.0.20326.20278 (gemäss CNA-Daten; obere Grenze noch nicht gegen das MSRC-Advisory geprüft)
• Andere SharePoint-Versionen: Unbekannt.

Behoben in

• Sicherheitsupdate vom November 2026 für SharePoint Server Subscription Edition (KB 5002945, gemäss Blog des Herstellers identisch mit dem Cumulative Update vom November 2026)
• Genaue korrigierte Build-Nummer: Unbekannt, im MSRC-Advisory prüfen.

Umgehung

• Keine CVE-spezifische Workaround bekannt. Sicherheitsupdate installieren.
• Vor der Installation: Befindet sich die Farm auf dem Cumulative Update vom September 2025, muss zuerst ein PowerShell-Skript die Ordnerberechtigungen korrigieren. Das Skript vor dem Ausführen prüfen.

Ausnutzung

• Zum Zeitpunkt der Quellen nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept und keine Berichte über Ausnutzung gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Prüfen, ob eine SharePoint-Farm Subscription Edition einsetzt und auf welchem Build sie läuft.
• Das MSRC-Advisory für die genauen korrigierten Builds und die KB-Nummer lesen.
• Falls die Farm auf dem Cumulative Update vom September 2025 ist, zuerst die Berechtigungskorrektur durchführen.
• Im nächsten Wartungsfenster patchen und prüfen, ob SharePoint aus dem Internet erreichbar ist; extern publizierte Server priorisieren.
• SharePoint-Logs auf unerwartete Deserialisierungsfehler oder ungewöhnliche Prozessausführungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (CVE-2026-109464) msrc.microsoft.com
• Stefan Gossner: SharePoint security fixes November 2026 blog.stefan-gossner.com
• GitHub CVE alert CVE-2026-109464 github.com
• Strix: CVE-2026-109464 www.strix.ai
• CISA: SharePoint hardening after new exploitations (July 2026) www.cisa.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:57.