CVE-2026-45659 nutzt Deserialisierungsfehler in SharePoint aus SharePoint RCE-Lücke funktioniert mit einfachem Benutzerkonto

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

CVE-2026-45659 erlaubt einem angemeldeten Nutzer mit einfachem Benutzerkonto die Remotecodeausführung auf SharePoint-Servern. Microsoft bewertet den Deserialisierungsfehler mit CVSS 8.8 und hat Updates für drei Versionen bereitgestellt. Der Eintrag fehlte zunächst im Sammelpaket des Mai-Patchday und wurde am 26.05.2026 nachgereicht.

Microsoft hat für mehrere SharePoint-Versionen Sicherheitsupdates veröffentlicht und behebt damit einen Fehler in der Verarbeitung serialisierter Daten. Die Schwachstelle mit der Kennung CVE-2026-45659 gestattet einem angemeldeten Angreifer das Einschleusen und Ausführen von eigenem Code. Den Schweregrad bewertet der Hersteller als wichtig, der zugehörige CVSS-Wert von 8.8 liegt im oberen Bereich der Skala. Als Ursache benennt Microsoft die Deserialisierung nicht vertrauenswürdiger Daten nach CWE-502.

Uneinigkeit über Ausnutzung

SharePoint-Schwachstelle führt zu Remote-Code-Ausführung

Angriff über das Netzwerk mit geringen Rechten

Über manipulierte serialisierte Objekte schleust ein Angreifer eigenen Code ein, den der Server bei der Deserialisierung ausführt. Für den Angriff genügt ein angemeldetes Konto mit Berechtigungen auf Site-Member-Ebene. Ein gewöhnliches Benutzerkonto reicht aus, ein Administratorzugang ist nicht nötig.

Der Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H beschreibt einen netzwerkbasierten Zugriff mit niedriger Komplexität und ohne Zutun eines Anwenders. Vertraulichkeit, Integrität und Verfügbarkeit bewertet Microsoft jeweils als hoch, der Umfang bleibt unverändert und begrenzt die Auswirkung auf die verwundbare Komponente. Die zeitabhängige Bewertung sinkt auf 7.7, denn ein offizieller Fix liegt vor und Exploit-Code ist nicht belegt.

Microsoft Patchday April 2026

165 CVEs, aktive SharePoint-Attacke und zwei Wurm-Kandidaten

Betroffene Produktversionen und Patch-Stände

Die Updates erschienen am 21.05.2026 und decken die drei unterstützten Editionen ab. Pro Version stellt Microsoft einen eigenen Patch über die Update-Kanäle bereit.

• SharePoint Server Subscription Edition: Build 16.0.19725.20280 über das Update KB5002863

• SharePoint Server 2019: Build 16.0.10417.20128 über das Update KB5002870

• SharePoint Enterprise Server 2016: Build 16.0.5552.1002 über das Update KB5002868

Für SharePoint Server 2016 und SharePoint Enterprise Server 2016 gilt dieselbe KB-Nummer. Anwender beider Varianten installieren das Update KB5002868. Den Fund meldete der Sicherheitsforscher MEOW an Microsoft. Administratoren sollten den passenden Patch auf allen betroffenen Systemen einspielen.

Update: Patches und erste Untersuchungserbenisse

0-Day in SharePoint wird weltweit für Angriffe genutzt

Nachgereichte Dokumentation im Mai-Update

Microsoft hatte die Schwachstelle bereits mit dem Mai-Update geschlossen, den Eintrag jedoch aus dem Sammelpaket für Mai 2026 ausgespart. Die Nachdokumentation vom 26.05.2026 ändert nichts am Patch-Stand. Systeme mit installiertem Mai-Update sind geschützt und benötigen keinen weiteren Eingriff.

Fazit

Microsoft führt die Schwachstelle in der Kategorie der weniger wahrscheinlichen Ausnutzung. Ein öffentlich verfügbarer Exploit fehlt, aktive Angriffe sind nicht bekannt. SharePoint-Server zählen dennoch zu den regelmäßig angegriffenen Systemen. Im Vormonat schloss Microsoft die Spoofing-Lücke CVE-2026-32201 mit einem CVSS-Wert von 6.5, deren aktive Ausnutzung dokumentiert war. Der bereitstehende Fix für CVE-2026-45659 schließt einen Angriffsweg zur Remotecodeausführung, der angemeldeten Nutzern mit geringen Berechtigungen offensteht.

(ID:50859707)