Microsoft SharePoint Server: Heap-basierter Speicherüberlauf ermöglicht Remote Code Execution
Zusammenfassung
Ein heap-basierter Speicherüberlauf (CWE-122) in Microsoft Office SharePoint Server erlaubt einem berechtigten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Vektor setzt ein gültiges Konto mit niedrigen Rechten (PR:L) und keine Benutzerinteraktion voraus, daher hängt das Risiko davon ab, wer sich am Server authentifizieren kann. Bestätigt ist die Betroffenheit für SharePoint Server Subscription Edition; der Status von SharePoint Server 2016 und 2019 ist nicht verifiziert.
Betroffen
- SharePoint Server Subscription Edition (x64) Builds vor 16.0.20326.20190
- SharePoint Server 2016 und 2019: Unbekannt.
Behoben in
- SharePoint Server Subscription Edition: Build 16.0.20326.20190 über das Update KB5002927 (13. Oktober 2026). Es ersetzt das Update KB5002908.
- SharePoint Server 2016 und 2019: Unbekannt.
Umgehung
- Keine vom Hersteller veröffentlichte Workaround bekannt. Das Einspielen des Patches ist die Massnahme.
- Allgemeine Härtung: SharePoint-Zugriff auf interne Netzwerke beschränken und den Netzwerkverkehr überwachen.
Ausnutzung
- Microsoft stuft die Exploit-Reife als Unproven ein und gibt an, dass die Schwachstelle nicht öffentlich bekannt ist.
- Nicht im CISA-KEV-Katalog. CISA-SSVC: Exploitation none, Automatable no.
- Zum heutigen Zeitpunkt sind kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt. Exploit-Repositories wurden nicht direkt geprüft.
Unsere Empfehlung
- Prüfen, ob SharePoint Server lokal betrieben wird und welche Version installiert ist.
- Bei Subscription Edition das Update KB5002927 installieren und Build 16.0.20326.20190 bestätigen.
- Bei SharePoint 2016 oder 2019 den Fix-Status in der MSRC-Produkttabelle prüfen, bevor eine Behebung angenommen wird.
- Externen Zugriff auf SharePoint einschränken und Konten mit gültigen Anmeldedaten überprüfen.
- SharePoint Online ist von diesem Patch nicht betroffen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Remotecodeausführung – Microsoft Office SharePoint
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Microsoft Office
- Updates (KB)
- KB5002927
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-88155 msrc.microsoft.com
- Microsoft KB5002927 support.microsoft.com
- OpenCVE: CVE-2026-88155 app.opencve.io
- Senserva: KB5002927 senserva.com
- Stefan Goßner blog: SharePoint security fixes October 2026 blog.stefan-gossner.com
- VulDB (conflicting record) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:05.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.