Microsoft SharePoint Server: SQL-Injection führt zu Rechteausweitung
Zusammenfassung
Eine SQL-Injection-Schwachstelle (CWE-89) in Microsoft Office SharePoint erlaubt einem authentifizierten Angreifer, über das Netzwerk seine Rechte zu erweitern. Gemäss CVSS-Vektor (8.8) sind niedrige Berechtigungen nötig, und es ist keine Benutzerinteraktion erforderlich. Die Quellen beschreiben das Problem für SharePoint Server Subscription Edition; eine Ausnutzung ist nicht bekannt.
Betroffen
- Microsoft SharePoint Server Subscription Edition: 16.0.0 bis vor 16.0.20326.20190
- SharePoint 2016 und 2019: Unbekannt, auf der MSRC-Produktliste prüfen
Behoben in
- SharePoint Server Subscription Edition: Sicherheitsupdate KB5002927 vom 13. Oktober 2026 (Build 16.0.20326.20190)
- Voraussetzung: Wird SharePoint Workflow Manager verwendet, muss vor dem kumulativen Update KB5002799 installiert werden
Umgehung
Unbekannt. Es wurde keine vom Hersteller veröffentlichte Massnahme gefunden.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA-SSVC im CVE-Eintrag: Ausnutzung none, automatisierbar no.
- Keine bestätigte Ausnutzung in freier Wildbahn gemeldet; in unseren Recherchen wurde kein öffentlicher Proof of Concept gefunden.
- Die EPSS-Werte widersprechen sich (1.08% bis 2.0%).
Unsere Empfehlung
- Produkt und Build von SharePoint auf allen Farmen prüfen.
- Farmen der Subscription Edition mit KB5002927 patchen, nachdem die Voraussetzung Workflow Manager und der Hinweis zu den Ordnerberechtigungen für Farmen mit dem CU vom September 2025 im Gossner-Blog geprüft wurden.
- Status von SharePoint 2016 und 2019 auf MSRC prüfen, bevor davon ausgegangen wird, dass sie nicht betroffen sind.
- Prüfen, wer SharePoint-Konten besitzt und ob Farmen aus dem Internet erreichbar sind.
- CISA KEV und Herstellerupdates überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Rechteausweitung – Microsoft Office SharePoint
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Microsoft Office
- Updates (KB)
- KB5002927
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-70266 msrc.microsoft.com
- Microsoft Support: KB5002927 SharePoint hotfix support.microsoft.com
- Stefan Gossner: SharePoint security fixes released with October 2026 PU blog.stefan-gossner.com
- Senserva: KB5002927 overview senserva.com
- OpenCVE: CVE-2026-70266 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:46.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.