Microsoft SharePoint Server: Remote Code Execution durch Integer-Überlauf
Zusammenfassung
Ein Integer-Überlauf oder Wraparound in Microsoft SharePoint Server Subscription Edition erlaubt einem Angreifer mit gültigen Zugangsdaten, über das Netzwerk Code auszuführen. Der CNA-Eintrag und die Recherchenotizen beschreiben einen Angriff mit Authentifizierung, die benötigte Berechtigung (Listenverwaltung) wird in den Quellen jedoch unterschiedlich angegeben. Zum Zeitpunkt der Erfassung ist keine Ausnutzung bekannt und die Schwachstelle ist nicht im CISA-KEV-Katalog aufgeführt.
Betroffen
- Microsoft SharePoint Server Subscription Edition: Versionen 16.0.0 bis unter 16.0.20326.20190
- SharePoint Server 2016/2019: unbekannt
Behoben in
- Microsoft SharePoint Server Subscription Edition: Build 16.0.20326.20190 oder neuer (Sicherheitsupdate vom Oktober 2026, KB5002927)
- Zuordnung von CVE-2026-88163 zu KB5002927 auf der MSRC-Seite noch nicht bestätigt
Umgehung
Unbekannt. Kein Workaround des Herstellers gefunden; Patchen ist die einzige Behebung in den geprüften Quellen.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden
- Nicht im CISA-KEV-Katalog aufgeführt
- CISA SSVC im CNA-Eintrag: Exploitation none, Automatable no, Technical Impact total
- EPSS ca. 0,008 zum Zeitpunkt der Erfassung (kann sich geändert haben)
Unsere Empfehlung
- Das Sicherheitsupdate vom Oktober 2026 (KB5002927) auf SharePoint Server Subscription Edition so rasch wie möglich installieren
- Liegt die Farm auf dem CU-Stand von September 2025, vor der Installation das dokumentierte Skript zur Korrektur der Ordnerberechtigungen ausführen, sonst schlägt die Installation fehl
- Prüfen, ob die Farm aus dem Internet erreichbar ist, und den Zugriff einschränken
- Konten mit Berechtigung zur Listenverwaltung prüfen und nicht benötigte Rechte entfernen
- Auf ungewöhnliche Aktivitäten achten und den KEV- und PoC-Status vor dem Schliessen des Tickets erneut prüfen
Angaben von Microsoft (Patch Tuesday Oktober 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Remotecodeausführung – Microsoft Office SharePoint
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Microsoft Office
- Updates (KB)
- KB5002927
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide msrc.microsoft.com
- Microsoft KB5002927 SharePoint hotfix support.microsoft.com
- Stefan Goßner blog: SharePoint security fixes October 2026 blog.stefan-gossner.com
- Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
- OpenCVE CVE-2026-88163 app.opencve.io
- Vulners VulnRichment CVE-2026-88163 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:05.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.