Microsoft SharePoint Server: Codeausführung durch Deserialisierung nicht vertrauenswürdiger Daten

Zusammenfassung

Eine Deserialisierungsschwachstelle in Microsoft Office SharePoint erlaubt einem berechtigten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-3.1-Basiswert beträgt 8.8 (hoch). Der Angreifer benötigt gültige Zugangsdaten mit niedrigen Rechten, für die Ausnutzung ist jedoch keine Benutzerinteraktion nötig. Die Exponierung des Servers, insbesondere aus dem Internet, erhöht das Risiko.

Betroffen

• Microsoft SharePoint Server Subscription Edition: 16.0.0 bis vor 16.0.20326.20136 (gemäss CNA-Daten, die Strix spiegelt; nicht durch MSRC bestätigt)
• SharePoint Server 2019 und 2016: Unbekannt. Es wird weder von einer Betroffenheit noch von einer Nichtbetroffenheit ausgegangen.

Behoben in

• Subscription Edition: Voraussichtlich im Sicherheitsupdate vom November 2026 behoben (KB 5002945, Build 16.0.20326.20278 oder neuer). Nicht bestätigt; die Behebung für CVE-2026-123390 ist im MSRC-Advisory zu prüfen.
• SharePoint Server 2019 und 2016: Unbekannt.

Umgehung

• Es ist kein spezifischer Workaround für diese CVE bekannt.
• SharePoint Server nicht direkt aus dem Internet erreichbar machen.
• Externen Zugriff auf die SharePoint Central Administration blockieren und die Kommunikation von Farm und Datenbank auf die benötigten Systeme beschränken.
• Prüfen, ob AMSI für jede Webanwendung aktiviert ist, wenn möglich mit Request-Body-Scanning im Full Mode.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung nicht im Known-Exploited-Vulnerabilities-Katalog der CISA gelistet.
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
• Die verwandte SharePoint-Deserialisierungsschwachstelle CVE-2026-45659 ist im KEV-Katalog gelistet; dies bestätigt keine Ausnutzung von CVE-2026-123390.

Unsere Empfehlung

• Prüfen, ob die Organisation Subscription Edition, 2019 oder 2016 betreibt.
• Subscription Edition auf das November-2026-CU oder neuer patchen, sobald MSRC die Behebung bestätigt.
• Internetexponierung und AMSI-Konfiguration jetzt prüfen und internetseitig erreichbare Server priorisieren.
• Auf eine Aufnahme in den KEV-Katalog achten und Konto- und Zugriffsprotokolle von SharePoint überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft MSRC Security Update Guide (CVE-2026-123390) msrc.microsoft.com
• Strix CVE record CVE-2026-123390 www.strix.ai
• Stefan Goßner: SharePoint security fixes November 2026 blog.stefan-gossner.com
• Stefan Goßner: November 2026 CU for SharePoint Subscription Edition blog.stefan-gossner.com
• CISA: SharePoint hardening after new exploitations www.cisa.gov
• SecurityWeek: CISA warns of actively exploited SharePoint vulnerability www.securityweek.com
• Helix ThreatWatch: SharePoint CVE-2026-45659 helix.ml

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:12.