Microsoft SharePoint Server: Remote Code Execution durch Deserialisierung

Zusammenfassung

Eine Deserialisierungsschwachstelle in Microsoft Office SharePoint erlaubt einem Angreifer mit einem Konto mit geringen Berechtigungen, über das Netzwerk Code auf dem Server auszuführen. Der CVSS-Vektor stuft die Angriffskomplexität als hoch ein, daher setzt die Ausnutzung bestimmte Bedingungen voraus. Die Erreichbarkeit lokal betriebener SharePoint-Server aus dem Internet erhöht das Risiko erheblich.

Betroffen

• Microsoft SharePoint Server Subscription Edition (lokal betrieben): 16.0.0 vor 16.0.20326.20278
• SharePoint Server 2019 und 2016: Unbekannt, in den geprüften Quellen nicht aufgeführt
• SharePoint Online: Wahrscheinlich nicht betroffen, nicht aus einer Primärquelle verifiziert

Behoben in

• Microsoft SharePoint Server Subscription Edition: 16.0.20326.20278 oder neuer (gemäss CNA-Eintrag, Bestätigung anhand der MSRC-Beratung erforderlich)
• Korrekturen für 2019 und 2016: Unbekannt

Umgehung

• Kein CVE-spezifischer Workaround von Microsoft gefunden. Unbekannt, bis die MSRC-Beratung geprüft ist.
• Allgemeine CISA-Empfehlung für SharePoint: Direkte Internetexposition vermeiden; falls unvermeidbar, einen Reverse Proxy der Schicht 7 oder eine gleichwertige Kontrolle einsetzen, die Authentifizierung erzwingt.
• Sicherstellen, dass die AMSI-Integration für jede SharePoint-Webanwendung aktiviert ist.
• Externen Zugriff auf die SharePoint Central Administration blockieren.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• CVSS-Ausnutzungsreife: Unbewiesen (E:U).
• Kein öffentlicher Proof of Concept gefunden.
• Rapid7 meldet, dass Microsoft für eine am selben Tag veröffentlichte Schwachstelle Ausnutzung in freier Wildbahn kennt; ob es sich um diese CVE handelt, ist unbekannt.

Unsere Empfehlung

• Prüfen, ob lokal betriebene SharePoint-Server der Subscription Edition unterhalb von 16.0.20326.20278 laufen, und SharePoint 2016 und 2019 separat anhand der MSRC-Beratung kontrollieren.
• Betroffene Server zeitnah patchen. Falls sich das Patchen verzögert, zuerst die direkte Internetexposition entfernen.
• Konten mit SharePoint-Zugriff überprüfen und bei Hinweisen auf Kompromittierung Zugangsdaten rotieren.
• Die MSRC-Seite und den CISA-KEV-Katalog auf Aktualisierungen überwachen, da die NVD-Analyse noch aussteht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-120000 (CVE.org) www.cve.org
• Microsoft Security Response Center advisory msrc.microsoft.com
• CISA: SharePoint hardening after new exploitations www.cisa.gov
• Rapid7 Patch Tuesday review, November 2026 www.rapid7.com
• Strix CVE-2026-120000 www.strix.ai
• CVE-2026-120000 third-party record (threatint) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:23.