Microsoft SharePoint Server: Rechteausweitung durch fehlende Autorisierung
Zusammenfassung
Eine fehlende Autorisierung in Microsoft SharePoint Server Subscription Edition (On-Premises) erlaubt einem berechtigten Angreifer, seine Rechte über das Netzwerk zu erweitern. Der Angriff setzt hohe Berechtigungen und eine komplexe Bedingung voraus, eine Benutzerinteraktion ist nicht nötig. Microsoft hat die Schwachstelle im kumulativen Update (CU) vom November 2026 behoben; öffentlich verfügbare Exploit-Codes sind keine bekannt.
Betroffen
- Microsoft SharePoint Server Subscription Edition (On-Premises, x64)
- Versionen 16.0.0 vor 16.0.20326.20278
- SharePoint 2016, SharePoint 2019 und Office Online Server: Unbekannt.
Behoben in
- Version 16.0.20326.20278 oder neuer
- Patch: KB 5002945, identisch mit dem kumulativen Update (CU) vom November 2026 für SharePoint Server Subscription Edition
- Farms mit dem CU vom September 2025 benötigen unter Umständen zuerst ein PowerShell-Skript zur Korrektur der Ordnerberechtigungen, sonst schlägt die Installation der Fixes fehl. Vor dem Patchen den Microsoft-Blog lesen.
Umgehung
Unbekannt. In den Quellen ist kein Workaround dokumentiert; der Patch ist die Lösung.
Ausnutzung
- Microsoft stuft die Reife des Exploit-Codes als nicht nachgewiesen (E:U) ein; öffentlich verfügbare Exploit-Codes sind keine bekannt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- In den geprüften Quellen kein Eintrag im CISA-KEV-Katalog gefunden; Katalog erneut prüfen.
Unsere Empfehlung
- Das CU vom November 2026 auf allen On-Premises-Servern von SharePoint Subscription Edition installieren, nach Prüfung des CU-Standes der Farm.
- Internetexponierte Farms und Farms, in denen andere SharePoint-Schwachstellen ausgenutzt werden, priorisieren.
- Konten mit administrativen oder hohen Berechtigungen überprüfen und nicht benötigte Rechte entfernen.
- SharePoint-Protokolle bis zum Patch auf ungewöhnliche Rechteänderungen überwachen.
Angaben von Microsoft (Patch Tuesday November 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Rechteausweitung – Microsoft Office SharePoint
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Microsoft Office
- Updates (KB)
- KB5002945
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-109495 msrc.microsoft.com
- CVE Record: CVE-2026-109495 www.cve.org
- Stefan Gossner: SharePoint security fixes with November 2026 PU blog.stefan-gossner.com
- Strix: CVE-2026-109495 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:48.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.