CVE-2026-20963
Microsoft SharePoint Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2026-20963 ist eine Deserialisierungsschwachstelle in Microsoft SharePoint Server, die es einem authentifizierten Angreifer ermoeglicht, beliebigen Code ueber das Netzwerk auszufuehren. Die Schwachstelle entsteht durch die Deserialisierung nicht vertrauenswuerdiger Daten innerhalb der serverseitigen Verarbeitung von SharePoint, wodurch ein Benutzer mit niedrigen Berechtigungen zur vollstaendigen Codeausfuehrung auf dem SharePoint-Server eskalieren kann. Mit einem CVSS v3.1-Score von 8.8 (HIGH) und einem EPSS-Score von 9.9 % stellt CVE-2026-20963 eine erhebliche Bedrohung fuer Organisationen dar, die SharePoint fuer Dokumentenmanagement und Zusammenarbeit nutzen.
Die CISA hat CVE-2026-20963 am 18. Maerz 2026 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 21. Maerz 2026.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | sharepoint server | < 16.0.19127.20442; 2016; 2019 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20963(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-20963(US Government Resource)
Schwachstellentyp
CWE-502: Deserialization of Untrusted Data
CVE-2026-20963 wird unter CWE-502 (Deserialization of Untrusted Data) klassifiziert. Diese Schwaeche tritt auf, wenn eine Anwendung Objekte aus einer nicht vertrauenswuerdigen Quelle deserialisiert, ohne angemessene Validierung durchzufuehren, wodurch ein Angreifer die serialisierten Daten manipulieren kann, um unbeabsichtigte Effekte wie beliebige Codeausfuehrung zu erzielen.
Bei CVE-2026-20963 deserialisiert Microsoft SharePoint Server benutzerseitig bereitgestellte Daten ohne ausreichende Typ-Einschraenkungen oder Integritaetspruefung. Ein authentifizierter Angreifer mit grundlegenden Site-Berechtigungen kann praeparierte serialisierte .NET-Objekte ueber die SharePoint-Weboberflaeche einreichen. Der Server verarbeitet diese Objekte durch Deserialisierung und loest dabei Gadget-Chains aus, die beliebige Befehle im Kontext des SharePoint-Anwendungspools ausfuehren.
Mehr erfahren: CWE-502 — Deserialization of Untrusted Data
Auswirkungsanalyse
CVE-2026-20963 traegt einen CVSS v3.1-Basisscore von 8.8 (HIGH) mit dem Vektor AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Der Angriff ist netzwerkbasiert mit niedriger Komplexitaet und erfordert nur niedrige Berechtigungen (z. B. ein einfaches SharePoint-Sitemitglied) ohne Benutzerinteraktion. Der Scope ist Unchanged.
Vertraulichkeit (High): Erfolgreiche Ausnutzung gewaehrt dem Angreifer Zugriff auf alle in SharePoint gespeicherten Daten, einschliesslich Dokumente, Workflows, Benutzeranmeldedaten und potenziell Datenbankverbindungsstrings. SharePoint dient haeufig als zentrales Repository fuer sensible Unternehmensdokumente.
Integritaet (High): Der Angreifer kann SharePoint-Inhalte aendern oder loeschen, Site-Konfigurationen manipulieren, Backdoors in Workflows einschleusen und Dokumentbibliotheken veraendern. Codeausfuehrung auf dem Server ermoeglicht auch die Modifikation von Systemdateien.
Verfuegbarkeit (High): Der Angreifer kann SharePoint-Dienste stoeren, Datenbanken korrumpieren oder den kompromittierten Server fuer weitere Angriffe nutzen.
Der EPSS-Score von 9.9 % bestaetigt erhebliche reale Ausnutzungsaktivitaet, und die 3-taegige CISA-Behebungsfrist unterstreicht die Dringlichkeit.
Exploit-Reifegrad
CVE-2026-20963 weist eine hohe Exploit-Reife mit bestaetigter aktiver Ausnutzung auf. Die CISA hat die Schwachstelle am 18. Maerz 2026 in den KEV-Katalog aufgenommen, mit einer extrem kurzen Behebungsfrist von nur 3 Tagen bis zum 21. Maerz 2026.
Der EPSS-Score von 9.9 % zeigt eine signifikante Ausnutzungswahrscheinlichkeit an. SharePoint-Deserialisierungsschwachstellen haben eine etablierte Geschichte der Waffenfaehigmachung. Fruehere SharePoint-Deserialisierungs-CVEs wie CVE-2019-0604 und CVE-2022-29108 wurden sowohl von staatlichen Akteuren als auch von Cyberkriminellen ausgenutzt. Ausgereifte .NET-Deserialisierungs-Tools und oeffentlich verfuegbare Gadget-Chains machen die Ausnutzung zugaenglich, sobald ein Deserialisierungs-Endpunkt identifiziert ist.
Die Anforderung einer niedrigen Authentifizierung (PR:L) reduziert die Angriffsflaeche im Vergleich zu unauthentifizierten Schwachstellen, jedoch sind kompromittierte oder legitime niedrig privilegierte Konten fuer entschlossene Angreifer leicht verfuegbar.
Behebung
-
Microsoft-Sicherheitsupdate sofort einspielen: Installieren Sie das neueste kumulative Update oder den Sicherheitspatch fuer SharePoint Server, der CVE-2026-20963 behebt. Angesichts der 3-taegigen CISA-Behebungsfrist sollte dies als Notfall-Patch mit hoechster Prioritaet behandelt werden.
-
SharePoint-Berechtigungen ueberpruefen und einschraenken: Fuehren Sie ein Audit der Benutzerberechtigungen ueber alle SharePoint-Sites durch und entfernen Sie ueberfluessige Zugaenge. Da die Schwachstelle eine niedrige Authentifizierung erfordert, reduziert die Minimierung der Konten mit SharePoint-Zugang die Angriffsflaeche.
-
Externen und Gastzugang deaktivieren oder einschraenken: Falls SharePoint-Sites externe Freigabe oder Gastzugang erlauben, erwaegen Sie die temporaere Deaktivierung dieser Funktionen bis der Patch eingespielt ist.
-
SharePoint-Server-Logs auf verdaechtige Aktivitaet ueberwachen: Pruefen Sie ULS-Logs, Windows-Ereignisprotokolle und IIS-Logs auf Anzeichen von Deserialisierungsangriffen, einschliesslich ungewoehnlicher HTTP-POST-Anfragen und unerwartetem Prozess-Spawning aus dem SharePoint-Anwendungspool.
-
Forensische Untersuchung bei Verdacht auf Kompromittierung durchfuehren: Suchen Sie nach Webshells, unautorisierten geplanten Tasks, neuen Administratorkonten und Hinweisen auf Lateral Movement vom SharePoint-Server.
-
Netzwerksegmentierung implementieren: Stellen Sie sicher, dass der SharePoint-Server in einem dedizierten Netzwerksegment mit eingeschraenkter ausgehender Konnektivitaet isoliert ist.
Technische Details
CVE-2026-20963 ist eine Deserialisierungsschwachstelle in Microsoft SharePoint Server. Der CVSS v3.1-Vektor ist CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H mit einem Score von 8.8. Die Schwachstelle liegt in der serverseitigen Verarbeitung serialisierter .NET-Objekte durch SharePoint. Ein authentifizierter Angreifer mit minimalen Site-Berechtigungen kann speziell praeparierte serialisierte Payloads ueber die SharePoint-Weboberflaeche einreichen. Der Server deserialisiert diese Payloads ohne angemessene Typ-Filterung, wodurch der Angreifer bekannte .NET-Gadget-Chains nutzen kann, um beliebigen Code auszufuehren. Der Code wird im Kontext der SharePoint-IIS-Anwendungspool-Identitaet ausgefuehrt, die typischerweise erhebliche Berechtigungen auf dem Server besitzt, einschliesslich Datenbankzugriff und Dateisystem-Berechtigungen.
Häufig gestellte Fragen
Wird CVE-2026-20963 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2026-20963 am 18. Maerz 2026 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 21. Maerz 2026. Der EPSS-Score von 9.9 % bestaetigt erhebliche Ausnutzungsaktivitaet.
Welche Produkte sind von CVE-2026-20963 betroffen?
Microsoft SharePoint Server ist betroffen. Konsultieren Sie das Microsoft Security Response Center Advisory fuer spezifische Versionsdetails und Patch-Verfuegbarkeit.
Wie behebe ich CVE-2026-20963?
Spielen Sie sofort das neueste Microsoft SharePoint Server-Sicherheitsupdate ein. Als zusaetzliche Mitigation ueberpruefen und beschraenken Sie SharePoint-Benutzerberechtigungen und deaktivieren Sie externen oder Gastzugang bis der Patch installiert ist.
Wie schwerwiegend ist CVE-2026-20963?
Mit einem CVSS-Score von 8.8 (HIGH), aktiver Ausnutzung und einer 3-taegigen CISA-Behebungsfrist ist CVE-2026-20963 eine ernste Bedrohung. Authentifizierte Angreifer mit minimalen Berechtigungen koennen vollstaendige Codeausfuehrung auf dem SharePoint-Server erreichen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.