Microsoft SharePoint Server: Schwachstelle für Remote Code Execution

Zusammenfassung

Eine Schwachstelle in Microsoft Office SharePoint Server Subscription Edition erlaubt die Einbindung von Funktionalität aus einer nicht vertrauenswürdigen Kontrollsphäre (CWE-829). Ein berechtigter Angreifer im Netzwerk kann Code auf dem Server ausführen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Gemäss CVSS-Vektor benötigt der Angreifer hohe Berechtigungen, eine Benutzerinteraktion ist nicht erforderlich. Microsoft hat in der Aktualisierung vom 13. Oktober 2026 eine Korrektur veröffentlicht.

Betroffen

• Microsoft SharePoint Server Subscription Edition: Version 16.0.0 bis vor 16.0.20326.20190
• SharePoint Server 2016 und 2019: Unbekannt, in den geprüften Quellen nicht angegeben

Behoben in

• Microsoft SharePoint Server Subscription Edition Build 16.0.20326.20190 oder neuer, enthalten in der Aktualisierung vom 13. Oktober 2026 (KB5002927)
• Voraussetzung: Die Release-Version von SharePoint Server Subscription Edition muss installiert sein. Workflow Manager ist zuerst zu aktualisieren, sofern er verwendet wird.

Umgehung

Unbekannt. In den geprüften Quellen wurde kein herstellerspezifischer Workaround gefunden.

Ausnutzung

• Nicht im Katalog KEV der CISA aufgeführt.
• CISA-SSVC-Daten: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
• Kein öffentlicher Proof-of-Concept-Code gefunden. Dies schliesst nicht aus, dass Exploit-Code existiert.
• Andere SharePoint-CVEs wurden im Juli 2026 aktiv ausgenutzt, diese sind jedoch nicht CVE-2026-70267.

Unsere Empfehlung

• Prüfen, ob SharePoint Server Subscription Edition im Einsatz ist und ob er aus dem Internet oder über ein Extranet erreichbar ist.
• Die Aktualisierung vom 13. Oktober 2026 (KB5002927) im Rahmen des regulären Patch-Zyklus installieren, einschliesslich Workflow Manager falls verwendet.
• Prüfen, ob der installierte Build 16.0.20326.20190 oder neuer ist.
• Administratorkonten überprüfen und hohe Berechtigungen einschränken, da der Angriff hohe Berechtigungen voraussetzt.
• SharePoint-Server auf ungewöhnliche Codeausführung oder administrative Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70267 msrc.microsoft.com
• Microsoft KB5002927: SharePoint update support.microsoft.com
• OpenCVE: CVE-2026-70267 app.opencve.io
• Vulners CVE record: CVE-2026-70267 vulners.com
• Senserva: KB5002927 overview senserva.com
• Zero Day Initiative: October 2026 Security Update Review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 05:17.