Kerngegevens
- Leverancier
- Microsoft
- Producten
- Microsoft SharePoint Enterprise Server 2016
- Microsoft SharePoint Server 2019
- Microsoft SharePoint Server Subscription Edition
- Soort software
- besturingssysteem
- Getroffen versies
- Microsoft SharePoint Enterprise Server 2016 vanaf 16.0.0 tot 16.0.5565.1001
- Microsoft SharePoint Server 2019 vanaf 16.0.0 tot 16.0.10417.20198
- Microsoft SharePoint Server Subscription Edition vanaf 16.0.0 tot 16.0.19725.20522
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Microsoft SharePoint Enterprise Server 2016 16.0.5565.1001
- Microsoft SharePoint Server 2019 16.0.10417.20198
- Microsoft SharePoint Server Subscription Edition 16.0.19725.20522
- CVE gepubliceerd
- 11 augustus 2026
- Op de KEV-lijst sinds
- 25 september 2026
- Gepubliceerd op LekkenRadar
- 26 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Microsoft SharePoint zit een fout waarbij de software onvoldoende controleert welke code wordt gegenereerd en uitgevoerd (code-injectie). Een aanvaller die al over een account met beperkte rechten beschikt, kan daardoor via het netwerk eigen code laten draaien op de server. Dit lek staat sinds september 2026 op de lijst van actief misbruikte lekken van CISA (KEV).
Wie loopt risico?
Je loopt risico als je organisatie SharePoint Enterprise Server 2016, SharePoint Server 2019 of SharePoint Server Subscription Edition zelf beheert en een versie draait die ouder is dan de opgeloste versie. De aanvaller heeft een geldig account nodig, maar hoeft verder niets van een gebruiker te krijgen. Servers die vanaf internet of een groot intern netwerk bereikbaar zijn, zijn het meest kwetsbaar.
Wat moet je doen?
Controleer je versie
Kijk na welke SharePoint-versie je draait: SharePoint (Enterprise) Server 2016, SharePoint Server 2019 of SharePoint Server Subscription Edition. Vergelijk het buildnummer met de opgeloste versies. SharePoint Online (Microsoft 365) is niet getroffen.
Installeer alle beveiligingsupdates
Werk bij naar minimaal 16.0.5565.1001 (2016: KB5002905 en KB5002906), 16.0.10417.20198 (2019: KB5002894 en KB5002896) of 16.0.19725.20522 (Subscription Edition: KB5002893). Voor 2016 en 2019 zijn er twee pakketten; Microsoft geeft aan dat je ze allebei moet installeren.
Beperk de blootstelling
Zorg dat je SharePoint-server niet onnodig bereikbaar is vanaf internet en beperk het aantal accounts dat toegang heeft, totdat de update is geïnstalleerd.
Controleer op sporen van misbruik
Omdat het lek actief wordt misbruikt, is het verstandig om logbestanden en de server zelf te laten onderzoeken op verdachte activiteit. Volg daarbij het advies van Microsoft en eventueel je beveiligingspartner.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is geclassificeerd als CWE-94: onjuiste beheersing van het genereren van code (code-injectie). Volgens Microsoft kan een ingelogde aanvaller met lage rechten een speciaal samengesteld verzoek naar de server sturen en daarmee code uitvoeren op de SharePoint-server. De CVSS 3.1-vector geeft aan: aanvalsroute via het netwerk, lage complexiteit, lage rechten nodig, geen gebruikersinteractie en grote gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid. De score van 8,8 komt van Microsoft (CNA). Het lek staat sinds 25 september 2026 op de KEV-lijst; een publiek exploit is in de gegevens niet bekend.
CVSS-vector (versie 3.1, basisscore 8,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-94 · Onjuiste beheersing van het genereren van code (code-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 8,2%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 25 september 2026
- Deadline van CISA
- 28 september 2026
- Gebruikt door ransomwaregroepen
- Niet bekend