Microsoft SharePoint Server: Cross-Site Scripting ermöglicht Spoofing

Zusammenfassung

Eine Cross-Site-Scripting-Schwachstelle im lokal betriebenen Microsoft SharePoint Server Subscription Edition (x64) ermöglicht Spoofing über das Netzwerk. Ein Angreifer benötigt ein gültiges Konto mit niedrigen Berechtigungen, und ein Benutzer muss handeln, etwa indem er eine präparierte Seite öffnet. Gemäss CVSS-Vektor ist der Verlust der Vertraulichkeit und Integrität hoch, die Verfügbarkeit bleibt unbeeinträchtigt; primär sind Inhalts-Spoofing oder Credential-Phishing innerhalb von SharePoint-Seiten möglich, nicht die Übernahme des Servers.

Betroffen

• Microsoft SharePoint Server Subscription Edition (x64, lokal betrieben), Versionen 16.0.0 vor 16.0.20326.20278
• SharePoint Online (Microsoft 365) ist von dieser lokalen CVE nicht betroffen
• Andere SharePoint-Versionen, etwa SharePoint 2019: Unbekannt.

Behoben in

• Build 16.0.20326.20278 oder neuer, enthalten im SharePoint-Sicherheitsupdate vom November 2026
• Befindet sich die Farm auf dem CU vom September 2025, muss zuerst ein Berechtigungsskript ausgeführt werden, sonst schlägt die Installation der SharePoint-Fixes fehl

Umgehung

• Kein Workaround veröffentlicht. Unbekannt, ob MSRC einen auflistet.
• Das Sicherheitsupdate ist die primäre Massnahme.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn. Microsofts Exploitation-Index ist 'unproven' (E:U).
• Laut einem Aggregator nicht im CISA-KEV-Katalog; der CISA-Katalog wurde nicht direkt geprüft.
• Kein öffentlicher Proof of Concept bekannt.

Unsere Empfehlung

• Lokal betriebene SharePoint-Server-Subscription-Edition-Farmen und deren Build-Nummern erfassen.
• Im Patch-Zyklus vom November 2026 einspielen, mit Priorität für Farmen, die aus dem Internet erreichbar sind oder von externen Gästen genutzt werden.
• Vor der Installation die Voraussetzung des CU vom September 2025 prüfen.
• SharePoint-Seiten auf ungewöhnliche Inhalte oder Phishing-Aktivität überwachen und Multi-Faktor-Authentifizierung durchsetzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record CVE-2026-111303 www.cve.org
• MSRC security update guide advisory msrc.microsoft.com
• Microsoft update blog (Stefan Gossner), November 2026 SharePoint fixes blog.stefan-gossner.com
• Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
• Automox: November 2026 Patch Tuesday www.automox.com
• Securityonline: November 2026 Patch Tuesday securityonline.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:27.