Microsoft SharePoint Server: Rechteausweitung

Zusammenfassung

Microsoft SharePoint Server Subscription Edition enthält eine Schwachstelle zur Rechteausweitung (CWE-269, Improper Privilege Management). Ein Angreifer mit einem gültigen Konto mit niedrigen Rechten kann eine höhere Berechtigungsstufe erlangen und möglicherweise administrative Kontrolle über den betroffenen Server übernehmen. Es ist keine Benutzerinteraktion erforderlich, und der Angriff kann über das Netzwerk erfolgen. Das Risiko ist bei aus dem Internet erreichbaren Farmen und Farmen mit vielen Benutzerkonten am grössten.

Betroffen

• Microsoft SharePoint Server Subscription Edition, Versionen 16.0.0 bis vor 16.0.20326.20190 (Bereich aus dem CNA-Eintrag; die untere Grenze stammt aus einer Drittquelle und ist vom Hersteller nicht bestätigt)
• SharePoint 2016 und 2019: Unbekannt.

Behoben in

• Microsoft SharePoint Server Subscription Edition, Build 16.0.20326.20190 oder neuer, über das Sicherheitsupdate KB5002927 (13. Oktober 2026)
• Das Update muss auf eine Release-Version der Subscription Edition angewendet werden.
• Vor der Installation die in den Research Notes beschriebene Installationsvoraussetzung für Farmen mit dem CU vom September 2025 prüfen.

Umgehung

• Dem Hersteller ist kein Workaround bekannt. Das Einspielen des Patches ist die Massnahme.
• Allgemeine Massnahmen (nicht vom Hersteller): Least-Privilege-Prinzip anwenden, administrative Aktivitäten überwachen und das Netzwerk segmentieren, um einzuschränken, worauf Konten mit niedrigen Rechten zugreifen können.

Ausnutzung

• CISA KEV: nicht aufgeführt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Temporaler Vektor von Microsoft: Reifegrad des Exploit-Codes 'unproven' (E:U).
• Laut einem Drittanbieter-Tracker keine bestätigte Ausnutzung in freier Wildbahn; EPSS 2.0%.
• Kein öffentlicher Proof of Concept gefunden. Dies schliesst einen solchen nicht aus.

Unsere Empfehlung

• Alle SharePoint Server Subscription Edition-Farmen identifizieren und prüfen, ob sie aus dem Internet erreichbar sind.
• KB5002927 mit hoher Priorität einspielen, nachdem die Installationsvoraussetzung geprüft wurde.
• Konten mit SharePoint- oder Domänenzugriff prüfen und nicht benötigte Konten und Berechtigungen entfernen.
• Auf ungewöhnliche administrative Aktivitäten und Rechteänderungen achten.
• Den Status von SharePoint-2016- oder 2019-Farmen direkt mit Microsoft klären, da er derzeit unbekannt ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-96044 msrc.microsoft.com
• Microsoft KB5002927 support.microsoft.com
• Stefan Gossner blog: SharePoint security fixes October 2026 blog.stefan-gossner.com
• OpenCVE: CVE-2026-96044 app.opencve.io
• Senserva: KB5002927 senserva.com
• VulDB: CVE-2026-96044 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:57.