SharePoint Server: Server-side Request Forgery ermöglicht Rechteausweitung
Zusammenfassung
Eine Server-side Request Forgery (CWE-918) im lokal betriebenen Microsoft SharePoint Server Subscription Edition erlaubt einem berechtigten Angreifer über das Netzwerk eine Rechteausweitung. Der Angreifer benötigt ein gültiges SharePoint-Konto mit niedrigen Rechten, zudem gelten bestimmte Bedingungen (AC:H). Microsoft stuft die Schwachstelle als wichtig ein, mit einem CVSS-3.1-Basiswert von 7.5. Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Betroffen
- Microsoft SharePoint Server Subscription Edition (x64) vor Build 16.0.20326.20190
- SharePoint Server 2016 und 2019: nicht verifiziert, vor einer Annahme der Betroffenheit die MSRC-Seite und KB5002927 prüfen
Behoben in
Build 16.0.20326.20190 oder neuer, ausgeliefert mit dem Sicherheitsupdate KB5002927 (13. Oktober 2026). Voraussetzung: Die Release-Version der Subscription Edition muss bereits installiert sein.
Umgehung
Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden. Mit dem Patch ist kein Workaround nötig.
Ausnutzung
- Eine Ausnutzung in freier Wildbahn ist nicht bekannt; die Schwachstelle ist nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Der temporäre Microsoft-Vektor verwendet E:U (Reife des Exploit-Codes nicht nachgewiesen).
- Kein öffentlicher Proof of Concept gefunden (dies schliesst einen solchen nicht aus).
- EPSS etwa 0.6%.
Unsere Empfehlung
- Auf allen Farm-Servern auf Build 16.0.20326.20190 oder neuer mit KB5002927 patchen und den Build anschliessend prüfen.
- Prüfen, ob SharePoint aus dem Internet erreichbar ist oder aus Partner- oder Gast-Netzwerken erreicht werden kann, und den Zugriff bei Bedarf einschränken.
- Konten mit SharePoint-Zugriff prüfen, insbesondere externe und Gastkonten, und nicht benötigte entfernen.
- SharePoint-Logs auf ungewöhnliche ausgehende Anfragen und Rechteänderungen überwachen.
- Organisationen, die nur SharePoint Online in Microsoft 365 nutzen, sind von diesem lokalen Patch nicht betroffen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Rechteausweitung – Microsoft Office SharePoint
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung unwahrscheinlich
- Produktfamilie
- Microsoft Office
- Updates (KB)
- KB5002927
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-70251 msrc.microsoft.com
- Microsoft KB5002927 SharePoint hotfix support.microsoft.com
- OpenCVE: CVE-2026-70251 app.opencve.io
- Vulners CVE list entry: CVE-2026-70251 vulners.com
- Vulners NVD entry: CVE-2026-70251 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 18:56.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.