Microsoft SharePoint Server: Fehlende Autorisierung führt zu Rechteausweitung

Zusammenfassung

Fehlende Autorisierungsprüfungen in Microsoft Office SharePoint erlauben einem authentifizierten Angreifer mit einem Konto mit niedrigen Rechten, Operationen auszuführen, die über die diesem Konto gewährten Berechtigungen hinausgehen. Der Angreifer benötigt Netzwerkzugriff auf einen betroffenen Server und ein gültiges Benutzerkonto, und die Schwachstelle wird als hoch eingestuft (CVSS 3.1 8.8). Internetexponierte Farmen mit vielen Benutzer-, externen oder Gastkonten sind stärker gefährdet.

Betroffen

• SharePoint Server Subscription Edition: Der offizielle CVE-Eintrag nennt 16.0.0 bis unter 16.0.20326.20190. Die genaue Build-Nummer wurde auf den Seiten von Microsoft nicht bestätigt. Prüfen Sie den MSRC-Eintrag, bevor Sie Patch-Entscheidungen treffen.
• SharePoint Server 2016 und 2019: Unbekannt.

Behoben in

• SharePoint Server Subscription Edition: Oktober-2026-Update, KB5002927.
• Microsoft gibt an, dass die Korrektur vorhanden ist, obwohl die CVE im Sicherheitsupdate vom Oktober 2026 nicht aufgeführt wurde.

Umgehung

Unbekannt. In den Quellen wurde kein Workaround gefunden. Die Installation von KB5002927 ist die Massnahme.

Ausnutzung

• Nicht im Katalog CISA KEV aufgeführt.
• Die CISA-SSVC-Daten zeigen Exploitation als none und Automatisierbarkeit als no.
• EPSS liegt bei 2.0% (Daten von Drittanbietern).
• Bei der Recherche wurde kein öffentlicher Proof-of-Concept-Exploit gefunden. Dies ist kein Beweis, dass keiner existiert.

Unsere Empfehlung

• Prüfen Sie Ihre SharePoint-Version und den Patchstand der Farm anhand des MSRC-Eintrags und von KB5002927. Verlassen Sie sich nicht auf Versionsbereiche von Drittanbietern.
• Führen Sie vor dem Patchen einer Farm mit dem CU vom September 2025 die in Stefan Gossners Blog beschriebene Prüfung der Ordnerberechtigungen durch, sonst können die SharePoint-Korrekturen fehlschlagen.
• Installieren Sie das Oktober-2026-Update auf betroffenen Farmen mit Subscription Edition.
• Überprüfen Sie Konten mit externem oder Gastzugriff sowie eine allfällige Internetexposition der Farm.
• Prüfen Sie KEV- und PoC-Status vor dem nächsten Review-Zyklus erneut.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-88198 msrc.microsoft.com
• Microsoft Support: SharePoint update KB5002927 support.microsoft.com
• Stefan Gossner: SharePoint security fixes October 2026 blog.stefan-gossner.com
• OpenCVE: CVE-2026-88198 app.opencve.io
• Senserva: KB5002927 details senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:01.