Microsoft SharePoint Server: Remote Code Execution durch Integer-Überlauf

Zusammenfassung

Ein Integer-Überlauf bzw. Wraparound in Microsoft Office SharePoint Server ermöglicht Remote Code Execution über das Netzwerk. Microsoft stuft die Schwachstelle als wichtig ein, mit einem CVSS-Wert von 8.8. Laut Microsoft benötigt ein Angreifer ein authentifiziertes Konto mit der Berechtigung Manage List, weshalb anonyme Angreifer aus dem Internet nicht direkt darauf zugreifen sollten. Das Risiko steigt, wenn SharePoint aus dem Internet erreichbar ist, Selbstregistrierung aktiviert ist, Zugangsdaten schwach oder mehrfach verwendet werden oder Konten mit Listenrechten kompromittiert sind.

Betroffen

• Microsoft SharePoint Server Subscription Edition: 16.0.0 bis vor 16.0.20326.20190
• SharePoint Server 2016 und SharePoint Enterprise Server 2016: Unbekannt (MSRC-Advisory prüfen)
• SharePoint Server 2019: Unbekannt (MSRC-Advisory prüfen)
• Microsoft 365 / SharePoint Online: nicht betroffen

Behoben in

• Subscription Edition: Build 16.0.20326.20190 oder neuer, bereitgestellt mit KB5002927 (veröffentlicht am 13. Oktober 2026)
• SharePoint Server 2016 und 2019: Unbekannt; das MSRC-Advisory nennt eine Korrektur für 2016, die KB-Nummer konnte jedoch nicht bestätigt werden

Umgehung

• Dem Hersteller ist keine Workaround-Massnahme bekannt. Microsoft nennt das Einspielen des Patches als Abhilfe.
• Generische Massnahmen ohne Herstellerbezug: Netzwerkzugriff auf vertrauenswürdige IP-Bereiche beschränken und starke Authentisierung erzwingen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn.
• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA-SSVC-Daten: Exploitation none, Automatable no, Technical Impact total.
• Microsoft-Reifegrad des Exploit-Codes: Unproven.
• EPSS: 2.0 Prozent (Drittanbieterdaten).
• Kein öffentlicher Proof of Concept gefunden; dies ist ein Fehlen von Hinweisen, keine Bestätigung.

Unsere Empfehlung

• On-Premises-Farmen der Subscription Edition auf Build 16.0.20326.20190 oder neuer aktualisieren (KB5002927).
• Die Korrektur für SharePoint 2016 und 2019 auf der MSRC-Seite prüfen und einspielen.
• Aus dem Internet erreichbare Farmen und Farmen mit vielen Benutzern mit Listenrechten priorisieren.
• Prüfen, wer die Berechtigung Manage List besitzt, und nicht benötigte Rechte entfernen.
• Selbstregistrierung deaktivieren, falls nicht benötigt, und starke, eindeutige Passwörter sowie Multi-Faktor-Authentisierung durchsetzen.
• SharePoint-Logs auf ungewöhnliche Änderungen an Listen und Inhalten sowie auf unerwartete Codeausführung auf den Servern überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88166 msrc.microsoft.com
• Microsoft Support: SharePoint hotfix KB5002927 support.microsoft.com
• Stefan Gossner: SharePoint security fixes released with October 2026 PU blog.stefan-gossner.com
• Zero Day Initiative: The October 2026 Security Update Review www.zerodayinitiative.com
• Senserva: KB5002927 details senserva.com
• OpenCVE: CVE-2026-88166 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:04.