Microsoft SharePoint Server: Remote Code Execution durch Deserialisierung nicht vertrauenswürdiger Daten
Zusammenfassung
Die Deserialisierung nicht vertrauenswürdiger Daten in Microsoft Office SharePoint erlaubt die Ausführung von Code auf dem Server über das Netzwerk. Gemäss CVE-Eintrag benötigt ein Angreifer ein gültiges Konto mit niedrigen Rechten und keine Benutzerinteraktion und könnte die volle Kontrolle über den Server erlangen (CVSS 3.1: 8.8). Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung bekannt.
Betroffen
- Microsoft SharePoint Server Subscription Edition: 16.0.0 vor 16.0.20326.20278 (gemäss CVE-Eintrag)
- SharePoint Server 2019 und 2016: Unbekannt. Security Advisory bei MSRC prüfen.
Behoben in
- SharePoint Server Subscription Edition: 16.0.20326.20278 (gemäss CVE-Eintrag; vor dem Patchen bei MSRC bestätigen)
- Andere Produktlinien: Unbekannt.
Umgehung
- Kein CVE-spezifischer Workaround bekannt. Das Patchen ist die Behebung.
- Bis zum Patchen die allgemeinen CISA-Empfehlungen zur SharePoint-Härtung befolgen: SharePoint-Server nicht direkt dem Internet aussetzen, den externen Zugriff auf Central Administration blockieren und prüfen, ob die AMSI-Integration für jede Webanwendung aktiviert ist.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: Zum Zeitpunkt der Veröffentlichung keine Hinweise gefunden.
- CISA KEV: Am 10.11.2026 nicht gelistet.
- CISA SSVC: Ausnutzung keine, Automatisierbar nein, Technische Auswirkung total.
- Öffentlicher Proof of Concept: Unbekannt / keiner gefunden.
Unsere Empfehlung
- Alle lokalen SharePoint-Server sowie deren Produktlinie und Build erfassen.
- Für jede Produktlinie das Security Advisory und den KB-Artikel bei MSRC prüfen und den korrigierten Build installieren.
- Direkte Internetexposition von SharePoint wo möglich entfernen und Central Administration auf interne Management-Netzwerke beschränken.
- Konten mit SharePoint-Zugriff prüfen und nicht benötigte Konten deaktivieren, insbesondere gastbasierte und Konten mit niedrigen Rechten.
- MSRC und CISA KEV in den kommenden Tagen überwachen, da sich der Status ändern kann.
Angaben von Microsoft (Patch Tuesday November 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Remotecodeausführung – Microsoft Office SharePoint
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Microsoft Office
- Updates (KB)
- KB5002945
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-109472 msrc.microsoft.com
- CVE.org Record CVE-2026-109472 www.cve.org
- CISA: SharePoint hardening alert (July 2026) www.cisa.gov
- Resecurity: July 2026 SharePoint attacks analysis www.resecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:56.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.