Uneinigkeit über Ausnutzung SharePoint-Schwachstelle führt zu Remote-Code-Ausführung

SharePoint ist seit Januar von einer kritischen Schwachstelle betroffen, die die Ausführung von Schadcode ermöglicht. Assigner Microsoft gibt an, dass die Schwachstelle nicht ausgenutzt wurde, doch CISA und ENISA behaupten das Gegenteil.

Eine Sicherheitslücke, die Microsoft bereits im Januar 2026 gepatcht hat, hat nun die CISA auf den Plan gerufen. Dabei handelt es sich um die RCE-Schwachstelle (Remote Code Execution) EUVD-2026-2114 / CVE-2026-20963 (CVSS-Score 8.8, EPSS-Score^* 7.10) in SharePoint. Die Schwachstelle beruht auf einer unsicheren Deserialisierung von benutzergesteuerten Daten, weswegen SharePoint serialisierte Daten akzeptiert und diese in Anwendungsobjekte um­wan­delt, ohne die zulässigen Objekttypen zu beschränken. Dadurch können Angreifer Schad­code erstellen, der unbeabsichtigte Codeausführungspfade auslöst.

Microsoft Patchday Januar 2026

Viele kritische Schwachstellen und immer mehr Rechteausweitungen

Laufen Angriffe auf SharePoint?

Microsoft hat EUVD-2026-2114 / CVE-2026-20963 am 13. Januar 2026 gepatcht. Am 12. März fügte die ENISA die Sicherheitslücke in ihren Katalog der known exploited vulnerabilties hinzu und am 18. März die CISA.

Diese konkreten Produkte und Versionen sind anfällig:

• Microsoft SharePoint Server 2019 in Version 16.0.0 <16.0.10417.20083

• Microsoft SharePoint Server Subscription Edition in Version 16.0.0 <16.0.19127.20442

• Microsoft SharePoint Enterprise Server 2016 in Version 16.0.0 <16.0.5535.1001

Am 17. März hat Microsoft seinen Sicherheitshinweis zu der Schwachstelle aktualisiert und vergibt einen CVSS-Score von 9.8. Allerdings schreibt der Hersteller nach wie vor, dass es keine Ausnutzung gibt.

Securityboulevard hat die Sicherheitslücke analysiert. Die Ausnutzung von EUVD-2026-2114 / CVE-2026-20963 beginne, sobald ein Angreifer mit einem SharePoint-Endpunkt interagiere, der serialisierte Eingaben verarbeitet. In beobachteten Angriffsszenarien sei die Einstiegshürde niedrig, da ein einfacher authentifizierter Zugriff genüge, um Schadcode einzuschleusen.

Support-Ende Windows 10, Azure & Co

Diese Produkte mustert Microsoft 2026 aus

Die Angreifer würden der Analyse nach sogenannte Gadget Chains ausnutzen. Dabei handelt es sich um vordefinierte Framework-Klassen, die, wenn sie während der Deserialisierung in einer bestimmten Reihenfolge kombiniert werden, die Ausführung beliebigen Codes ermöglichen. Da diese Ausführung im Rahmen der normalen Datenverarbeitung der Anwendung erfolge, greife die Standardmechanismen zur Eingabevalidierung nicht ein. Dies mache die Schwachstelle so­wohl ausnutzbar als auch schwer zu erkennen. „Unternehmen sollten davon ausgehen, dass jede ungeschützte oder ungepatchte SharePoint-Instanz aktiv angegriffen wird“, heißt es in der Analyse.

Eine Ausnutzung von EUVD-2026-2114 / CVE-2026-20963 sei besonders schwer zu erkennen, da die Ausführung im normalen Anwendungsablauf erfolge. Es gibt laut Securityboulevard keine offensichtliche Exploit-Signatur, keinen direkten Aufruf verdächtigen Codes und keine feh­ler­haf­te Eingabe im herkömmlichen Sinne. Die Schadsoftware werde als gültige strukturierte Daten verarbeitet, und Standardmechanismen zur Eingabevalidierung würden die Bedrohung nicht erkennen, da das Risiko in der Interpretation der Daten liege, nicht nur in ihrem Inhalt.

Update: Patches und erste Untersuchungserbenisse

0-Day in SharePoint wird weltweit für Angriffe genutzt

Schutz vor EUVD-2026-2114 / CVE-2026-20963

Die Schwachstelle sei besonders gefährlich, da sie nicht nur eine einzelne Komponente betreffe, sondern ein Einfallstor in den Kern der Unternehmensprozesse öffne. Die effektivste Gegen­maß­nah­me ist der Patch von Microsoft.

Eine Erkennung erfordert Securityboulevard zufogle einen mehrschichtigen Ansatz, da der An­griff keine eindeutigen oder isolierten Indikatoren erzeuge. Da die Nutzdaten als gültige An­wen­dungs­da­ten verarbeitet würden, sei die herkömmliche signaturbasierte Erkennung oft unzureichend. Die Analysten empfehlen Sicherheitsteams, auf Anwendungsebene eingehende Anfragen sorgfältig auf Anomalien in serialisierten Daten zu untersuchen. Dazu würden un­ge­wöhn­lich strukturierte Nutzdaten, unerwartete Parameterformate oder Anfragemuster ge­hö­ren, die mit bekannten Verhaltensweisen der .NET-Gadget-Kette übereinstimmen würden. Wiederholter Zugriff auf Endpunkte, die für die Verarbeitung serialisierter Eingaben zuständig sind, sollte ebenfalls als potenzielles Signal für einen Angriff betrachtet werden.

Auf Systemebene sei zu beachten, dass der SharePoint-Workerprozess (w3wp.exe) nor­ma­ler­wei­se keine untergeordneten Prozesse wie Befehlszeilenprogramme oder PowerShell starten sollte. Jede derartige Aktivität sei ein starkes Indiz für eine Kompromittierung. Protokolle zur Prozesserstellung, insbesondere die Windows-Ereignis-ID 4688, würden Einblicke in un­ge­wöhnliche Ausführungsmuster geben, die von SharePoint ausgehen.

Auch das Netzwerkverhalten stelle eine weitere Erkennungsebene dar. Ausgehende Ver­bin­dungen von SharePoint-Servern zu unbekannten oder nicht vertrauenswürdigen externen Hosts sollten umgehend untersucht werden. Abweichungen von erwarteten Kom­mu­ni­ka­tions­mus­tern würden häufig auf Command-and-Control-Aktivitäten oder Daten­ex­fil­tra­tions­ver­suche hindeuten. SharePoint-ULS-Protokolle würden dabei eine entscheidende Rolle spielen. Die Überprüfung dieser Protokolle auf Unregelmäßigkeiten in der Anfrageverarbeitung, im Ausführungsablauf oder auf unerwartete Fehler könne helfen, Abweichungen im De­seri­ali­sier­ungs­ver­halten von normalen Mustern zu identifizieren. Die zuverlässigste Erkennung erfolge durch die Korrelation dieser Signale, indem verdächtige Anfragen mit Prozessaktivitäten und Netzwerkverhalten verknüpft würden.

Termine 2026

Wann ist Microsoft Patchday?

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50797775)