CVE-2026-45659: Codeausführung durch Deserialisierung in SharePoint Server

Zusammenfassung

CVE-2026-45659 ist eine Schwachstelle vom Typ „Deserialization of untrusted data“ in Microsoft Office SharePoint. Ein autorisierter Angreifer kann darüber aus dem Netzwerk heraus beliebigen Code auf dem betroffenen Server ausführen. Mit einem CVSS-Score von 8.8 (High) handelt es sich um ein schwerwiegendes Risiko, da die Ausnutzung vergleichsweise wenig Komplexität erfordert und typischerweise nicht auf eine Benutzerinteraktion angewiesen ist.

Betroffen sind mehrere unterstützte Versionen von Microsoft SharePoint Server 2016, 2019 sowie SharePoint Server Subscription Edition. Microsoft hat im Rahmen des monatlichen Patch-Zyklus Sicherheitsupdates veröffentlicht, die zeitnah eingespielt werden sollten.

Technische Details

Die Schwachstelle entsteht durch eine unsichere Deserialisierung eingehender Daten in SharePoint-Komponenten. Angreifer können speziell präparierte, serialisierte Objekte an den Server senden, die beim Deserialisieren in eine vordefinierte Objektkette (Gadget Chain) münden. Wird eine solche Kette auf dem Server instanziiert, lässt sich darüber beliebiger .NET-Code im Sicherheitskontext des SharePoint-Anwendungspools ausführen.

Da bereits eine niedrige Berechtigungsstufe („authorized attacker“) für die Ausnutzung genügt, ist die Hürde für Angreifer gering – etwa kompromittierte Konten, gestohlene Zugriffstoken oder ein vorgelagerter Phishing-Vorfall reichen aus. Die Ausnutzung erfolgt direkt über das Netzwerk (HTTP/HTTPS zum SharePoint-Endpunkt) und benötigt in der Regel keine Benutzerinteraktion.

Betroffene Systeme

• Microsoft SharePoint Server 2019, Versionen 16.0.0 vor 16.0.10417.20128
• Microsoft SharePoint Server Subscription Edition, Versionen 16.0.0 vor 16.0.19725.20280
• Microsoft SharePoint Enterprise Server 2016, Versionen 16.0.0 vor 16.0.5552.1002

Empfehlungen und Maßnahmen

• Patches zeitnah einspielen: Die von Microsoft bereitgestellten Sicherheitsupdates für die jeweilige SharePoint-Version (2016, 2019, Subscription Edition) unverzüglich installieren. Die referenzierten Mindestversionen markieren den Stand nach erfolgreicher Behebung.
• SharePoint-Versionen verifizieren: Über die Zentraladministration bzw. Get-SPProduct die installierte Build-Nummer prüfen und mit den oben genannten Mindestversionen abgleichen.
• Zugriffe einschränken: SharePoint-Web-Anwendungen möglichst nicht direkt aus dem Internet erreichbar machen; den Zugriff auf bekannte Verwaltungs- und API-Endpunkte über Reverse-Proxy-/WAF-Regeln limitieren.
• Berechtigungen prüfen: Konten mit Site-Owner- oder Farm-Admin-Rechten auf das Notwendige reduzieren, da diese für die Ausnutzung bereits ausreichen.
• Erkennung und Monitoring: WAF-/IPS-Logik auf verdächtige Deserialisierungs-Payloads (z. B. bekannte ViewState- und SharePoint-Gadget-Chains) sowie auf ungewöhnliche w3wp.exe-Prozessaktivitäten auf SharePoint-Servern achten.
• Notfallplan: Sicherungen der SharePoint-Farm und der Inhaltsdatenbanken bereithalten, falls eine Kompromittierung festgestellt wird.

Quellen

• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45659