CVE-2026-32201
Microsoft SharePoint Server Improper Input Validation Vulnerability
Beschreibung
CVE-2026-32201 ist eine Schwachstelle mit mittlerem Schweregrad durch unsachgemäße Eingabevalidierung in Microsoft Office SharePoint Server und hat einen CVSS-3.1-Score von 6.5. Laut Microsoft ermöglicht der Fehler einem nicht authentifizierten Angreifer, Spoofing über das Netzwerk durchzuführen — speziell präparierte Eingaben können SharePoint dazu bringen, Herkunft oder Integrität von angezeigten Inhalten falsch darzustellen. Betroffen sind SharePoint Server 2016, 2019 sowie alle Builds unterhalb von 16.0.19725.20210. Die Schwachstelle ist im KEV-Katalog (Known Exploited Vulnerabilities) der CISA gelistet, mit einer Frist zur Behebung bis 2026-04-28. Trotz eines EPSS-Scores von nur 0.00596 (69,4. Perzentil) und ohne bekannte Ransomware-Verbindung ist eine zeitnahe Behebung geboten, da die Ausnutzung weder Authentifizierung noch Benutzerinteraktion erfordert und sich damit für phishingnahe Spoofing-Kampagnen gegen Unternehmens-SharePoint-Installationen anbietet.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | sharepoint server | < 16.0.19725.20210; 2016; 2019 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32201(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-32201(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-20: Unsachgemäße Eingabevalidierung
CVE-2026-32201 ist der Schwachstellenklasse CWE-20 — Unsachgemäße Eingabevalidierung — zugeordnet. Diese Schwäche tritt auf, wenn ein Produkt Eingaben empfängt, aber nicht oder nur unzureichend prüft, ob sie die zur sicheren Verarbeitung erforderlichen Eigenschaften besitzen. In Microsoft SharePoint Server führt die unzureichende Validierung von netzwerkseitig empfangenen Daten dazu, dass ein Angreifer Eingaben so präparieren kann, dass der Server sie akzeptiert und in einer Antwort rendert, die legitime Inhalte oder Identitäten vortäuscht. Da die Eingabevalidierung an der Vertrauensgrenze zwischen nicht vertrauenswürdigen Aufrufern und der Anwendungslogik liegt, können Defekte hier auch sonst gut gehärtete Sicherheitskontrollen aushebeln.
Mehr erfahren: CWE-20 — Unsachgemäße Eingabevalidierung
Auswirkungsanalyse
CVE-2026-32201 hat einen CVSS-3.1-Score von 6.5 (MEDIUM) mit unverändertem Scope, d. h. die Auswirkung bleibt auf die betroffene SharePoint-Server-Komponente beschränkt. Attack Vector (Network): die Schwachstelle ist aus der Ferne über jedes erreichbare SharePoint-System ausnutzbar, ohne physischen oder benachbarten Netzwerkzugang. Attack Complexity (Low) zusammen mit Privileges Required (None) und User Interaction (None) bedeutet, dass die Ausnutzung geradlinig und vollständig unauthentifiziert erfolgt — keine Sonderbedingungen, kein Opferzutun. Confidentiality (Low) und Integrity (Low): ein Angreifer kann begrenzt Informationen lesen oder verändern, was im Spoofing-Kontext typischerweise bedeutet, dass Erscheinung, Absender oder Vertrauenssignale von SharePoint-Inhalten manipuliert werden, auf die nachgelagerte Nutzer vertrauen. Availability (None): für sich genommen führt die Schwachstelle zu keinem Dienstausfall. Der EPSS-Score von 0.00596 (69,4. Perzentil) liegt absolut moderat, aber über dem CVE-Durchschnitt; die KEV-Listung belegt, dass die CISA reale Angriffe beobachtet hat.
Exploit-Reifegrad
CVE-2026-32201 wird nachweislich aktiv ausgenutzt: Die CISA hat die Schwachstelle am 2026-04-14 in den KEV-Katalog aufgenommen und eine Behebungsfrist für Bundesbehörden bis 2026-04-28 gesetzt — ein starkes Signal, dass funktionierende Angriffsverfahren bereits gegen produktive SharePoint-Umgebungen eingesetzt werden. Öffentliche Exploits: die NVD-Referenzen listen nur ein Microsoft-Herstelleradvisory und den CISA-KEV-Eintrag; ein öffentlicher Proof-of-Concept ist aktuell nicht indexiert, das Fehlen eines publizierten PoC bedeutet jedoch nicht, dass keine Ausnutzung stattfindet. Ausnutzungswahrscheinlichkeit: der EPSS-Score von 0.00596 (69,4. Perzentil) zeigt eine überdurchschnittliche, aber noch nicht explodierende Ausnutzungswahrscheinlichkeit; nach KEV-Aufnahme kann dieser Wert schnell steigen. Ransomware-Bezug: es sind keine Ransomware-Gruppen mit CVE-2026-32201 verbunden, allerdings werden Spoofing-Schwächen in Collaboration-Plattformen häufig mit Phishing und Credential Harvesting verkettet — Verteidiger sollten also davon ausgehen, dass CVE-2026-32201 in breitere Angriffsketten einfließen kann.
Behebung
- Microsoft-Sicherheitsupdate für SharePoint umgehend installieren. Gemäß der KEV-Vorgabe sind die Herstellervorgaben umzusetzen; konsultieren Sie die MSRC-Meldung zu CVE-2026-32201 unter https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32201 und spielen Sie den Patch ein, der SharePoint Server auf Build 16.0.19725.20210 oder höher anhebt.
- Inventarisierung aller SharePoint Server 2016 und 2019 Installationen. Ermitteln Sie mit Asset-Management- und Vulnerability-Scanning-Werkzeugen jede SharePoint-Farm, jeden Front-End-Server und jede Hybrid-Umgebung inklusive Entwicklungs- und Disaster-Recovery-Systeme und stellen Sie sicher, dass alle gepatcht sind.
- Netzwerkexposition von SharePoint als Übergangsmaßnahme einschränken. Stellen Sie SharePoint hinter VPN, Zero Trust Network Access oder IP-Allowlisting für externe Nutzer und sorgen Sie dafür, dass vorgeschaltete Web Application Firewalls fehlerhafte Anfragen inspizieren und verwerfen, bis das Patchen abgeschlossen ist.
- Serverseitige Eingabevalidierung am Gateway härten. Setzen Sie strikte Allowlist-basierte Validierung von Request-Parametern, Headern und Uploads am Reverse Proxy oder an der WAF durch — entsprechend der CWE-20-Empfehlung, sich niemals allein auf clientseitige Validierung zu verlassen.
- SharePoint- und IIS-Protokolle auf Spoofing-Indikatoren prüfen. Suchen Sie nach ungewöhnlichen POST-Bodies, unerwarteten Host- oder Referer-Headern, auffälligen Content-Types und Nutzermeldungen zu verdächtigen SharePoint-Seiten, die auf Ausnutzungsversuche gegen CVE-2026-32201 hindeuten könnten.
- Detection-Content und Security-Awareness aktualisieren. Verteilen Sie aktualisierte Signaturen an EDR, SIEM und E-Mail-Security-Systeme und erinnern Sie Nutzer daran, dass SharePoint-Inhalte — wie E-Mails — gespooft werden können und hochvertrauenswürdige Aktionen out-of-band verifiziert werden sollten.
Technische Details
CVE-2026-32201 beruht auf unsachgemäßer Eingabevalidierung in Microsoft Office SharePoint Server: Über das Netzwerk empfangene Request-Daten werden vor ihrer Verwendung in der Antwortgenerierung nicht strikt gegen erwartete Formate, Typen oder Wertebereiche geprüft. Mechanismus: ein Angreifer sendet gezielt präparierte Eingaben an einen erreichbaren SharePoint-Endpunkt; da der Server die zur sicheren Verarbeitung erforderlichen Eigenschaften nicht durchsetzt, kann die resultierende Antwort legitime Inhalte vortäuschen — etwa durch Manipulation von Bezeichnern, Referenzen oder gerenderten Metadaten, auf die Nutzer und angebundene Systeme vertrauen. CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N): Network Attack Vector, geringe Komplexität, keine Privilegien und keine Nutzerinteraktion machen die Ausnutzung trivial erreichbar, sobald eine verwundbare SharePoint-Instanz exponiert ist; niedrige Auswirkungen auf Confidentiality und Integrity sowie fehlende Availability-Auswirkung reflektieren, dass das Angriffsergebnis Content-Spoofing und keine vollständige Kompromittierung ist. CWE-Zuordnung: CWE-20 beschreibt die Grundursache — die Vertrauensgrenze zwischen HTTP-Client und SharePoint-Anwendung erzwingt keine ausreichende Validierung, dieselbe Klasse von Schwächen, die historisch vielen SharePoint-Deserialisierungs- und Request-Smuggling-Problemen zugrunde liegt.
Häufig gestellte Fragen
Wird CVE-2026-32201 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2026-32201 am 2026-04-14 in ihren KEV-Katalog aufgenommen und damit die reale Ausnutzung dieser Spoofing-Schwachstelle in Microsoft SharePoint Server bestätigt; die Frist für Bundesbehörden läuft am 2026-04-28 aus. Eine Ransomware-Gruppe wurde bislang nicht öffentlich zugeordnet, doch der EPSS-Score von 0.00596 (69,4. Perzentil) in Kombination mit einem unauthentifizierten Netzwerk-Angriffsprofil macht die Schwachstelle zu einem attraktiven Ziel.
Welche Produkte sind von CVE-2026-32201 betroffen?
Betroffen sind Microsoft SharePoint Server 2016, SharePoint Server 2019 sowie alle SharePoint-Server-Builds unterhalb von 16.0.19725.20210. Organisationen mit On-Premises- oder Hybrid-SharePoint sollten ihre Build-Nummern gegen das Microsoft-Advisory zu CVE-2026-32201 abgleichen. Für SharePoint Online gilt die im KEV-Eintrag referenzierte BOD-22-01-Cloud-Guidance.
Wie behebe ich CVE-2026-32201?
Spielen Sie das Microsoft-Sicherheitsupdate ein, sodass SharePoint Server Build 16.0.19725.20210 oder höher erreicht, gemäß MSRC-Advisory unter https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32201. Schränken Sie bis zur vollständigen Patchung die Netzwerk-Exposition von SharePoint über VPN oder Zero Trust Access ein, verschärfen Sie WAF-Regeln zur Eingabevalidierung und prüfen Sie SharePoint- und IIS-Logs auf Spoofing-Indikatoren.
Wie kritisch ist CVE-2026-32201?
CVE-2026-32201 ist als MEDIUM eingestuft mit einem CVSS-3.1-Score von 6.5 und einem EPSS-Score von 0.00596 (69,4. Perzentil). Die technische Auswirkung — begrenzter Verlust von Vertraulichkeit und Integrität durch Spoofing — fällt gegenüber einer Remote-Code-Execution geringer aus, dennoch rechtfertigt die Kombination aus Netzwerk-Angriffsvektor, fehlender Authentifizierung, keiner Nutzerinteraktion und KEV-bestätigter Ausnutzung eine priorisierte Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.