Microsoft SharePoint Server: Remote Code Execution durch Deserialisierung

Zusammenfassung

Die Deserialisierung nicht vertrauenswürdiger Daten in Microsoft SharePoint Server Subscription Edition erlaubt einem berechtigten Angreifer, über das Netzwerk Code auszuführen. Der Angreifer benötigt ein gültiges Konto mit niedrigen Berechtigungen, daher genügen Mitarbeiterkonten oder kompromittierte Zugangsdaten. Eine erfolgreiche Ausnutzung kann zu einer vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit führen (CVSS 8.8). Zum Zeitpunkt der Recherche waren für diese CVE weder eine Ausnutzung noch ein öffentlicher Proof of Concept bekannt.

Betroffen

• SharePoint Server Subscription Edition: 16.0.0 vor 16.0.20326.20278
• Unbestätigt: ob SharePoint Server 2019 oder 2016 betroffen sind. Die vollständige Produktliste steht im MSRC-Advisory.

Behoben in

• Build 16.0.20326.20278 (November 2026 CU, Subscription Edition)
• Sicherheitsupdate KB 5002945
• Installationshinweis: Farms mit dem CU vom September 2025 benötigen unter Umständen zuerst eine Korrektur der Ordnerberechtigungen, sonst schlägt die Installation fehl. Der Blogbeitrag von Stefan Gossner nennt ein PowerShell-Skript für diese Korrektur.

Umgehung

• Für diese CVE ist keine Workaround dokumentiert. Das Einspielen des Patches ist die Lösung.
• Allgemeine SharePoint-Härtung von CISA (nicht spezifisch für diese CVE): SharePoint-Server nicht direkt dem Internet aussetzen, externen Zugriff auf die Zentraladministration blockieren und, wo möglich, AMSI mit Scannen des Request-Body aktivieren.

Ausnutzung

• Aktive Ausnutzung: für diese CVE wurden keine Hinweise gefunden. Der CVSS-Vektor von Microsoft markiert die Exploit-Reife als Unproven (E:U).
• Öffentlicher Proof of Concept: keiner gefunden.
• Verwandte CVEs werden ausgenutzt: CVE-2026-45659 (Deserialisierungs-RCE) wurde im Juli 2026 in den KEV-Katalog von CISA aufgenommen. Dies ändert den Status von CVE-2026-110044 nicht, zeigt aber, dass dieselbe Fehlerklasse aktiv angegriffen wird.

Unsere Empfehlung

• Prüfen Sie, ob Ihr SharePoint-Build unter 16.0.20326.20278 liegt.
• Installieren Sie KB 5002945 oder das November-2026-CU, prüfen Sie vorher aber den Patch-Stand der Farm.
• Ist der Server aus dem Internet erreichbar, beschränken Sie den Zugriff umgehend.
• Überwachen Sie Logs auf ungewöhnliche Deserialisierungsfehler und unerwartete Prozessstarts auf SharePoint-Servern.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-110044 msrc.microsoft.com
• CVE.org record CVE-2026-110044 www.cve.org
• Stefan Gossner: SharePoint security fixes with November 2026 PU blog.stefan-gossner.com
• Stefan Gossner: November 2026 CU for SharePoint Server Subscription Edition blog.stefan-gossner.com
• Strix AI: CVE-2026-110044 www.strix.ai
• CISA: SharePoint hardening after new exploitations www.cisa.gov
• SecurityWeek: CISA warns of actively exploited SharePoint vulnerability www.securityweek.com
• Zero Day Initiative: ZDI-26-412 www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:51.