Microsoft закрыла в SharePoint Server Subscription Edition уязвимость, из-за которой пользователь с учётной записью может выйти за пределы выданных ему прав. Проблема получила идентификатор CVE-2026-88164 и оценку 8.8 по шкале CVSS 3.1, это высокий уровень угрозы (High по классификации Microsoft, категория Important). Уязвимы сборки старше 16.0.20326.20190.
CVE-2026-88164 в SharePoint Server Subscription Edition
Корень проблемы - отсутствие проверки прав при обработке части запросов к серверу. Такой тип ошибки специалисты обозначают как CWE-862, недостающая авторизация: приложение выполняет операцию, не убедившись, что у обратившегося есть на неё разрешение. Атакующему не нужны права администратора. Достаточно действующей учётной записи на сервере SharePoint.
Дальше сценарий простой. Аутентифицированный пользователь отправляет специально сформированный запрос и получает возможность сделать то, что ему не положено по роли. По данным Microsoft, результатом становится изменение защищённого содержимого или административных настроек. Взаимодействие других людей при этом не требуется: жертва не должна ничего открывать, подтверждать или запускать.
Вектор атаки - сетевой, сложность эксплуатации низкая. Влияние на конфиденциальность, целостность и доступность данных Microsoft оценила как высокое по всем трём параметрам. Иными словами, успешная эксплуатация грозит не только чтением чужой информации, но и порчей содержимого либо нарушением работы портала. Панель предпросмотра, вопреки частому подозрению в подобных случаях, вектором атаки не выступает.
На момент публикации бюллетеня уязвимость не была раскрыта публично, и признаков эксплуатации в реальных атаках вендор не зафиксировал. Оценка вероятности использования - "эксплуатация маловероятна". Это скорее связано с тем, что для атаки всё же нужна учётная запись на целевом сервере, а не с технической сложностью. Злоумышленник, у которого уже есть легитимный доступ, как раз и составляет основную группу риска. Чаще всего речь о внутреннем пользователе, подрядчике или о том, кто получил доступ к чужой сессии.
Значимость проблемы зависит от того, как устроен конкретный портал. SharePoint нередко хранит рабочие документы, согласования, внутренние регламенты и данные о сотрудниках. Повышение привилегий внутри такого сервера открывает путь к материалам, которые обычно закрыты для рядового пользователя. При этом административные настройки находятся в той же зоне досягаемости, а значит, последствия не ограничиваются одной утечкой.
Microsoft отнесла исправление к бюллетеню от 13 октября 2026 года. Закрытая сборка - 16.0.20326.20190, ей соответствует статья базы знаний 5002927 и пакет обновления безопасности для SharePoint Server Subscription Edition. Уязвимость нашёл исследователь, работающий в XBREACH.AI; вендор отметил его участие в программе скоординированного раскрытия.
В том же бюллетене есть уточнение для тех, кто работает на более старых ветках. Номер статьи базы знаний одинаков для SharePoint Server 2016 и SharePoint Enterprise Server 2016, поэтому владельцам обеих версий предлагают установить обновление. Проверить, попадает ли ваш сервер в зону риска, можно по номеру сборки в разделе сведений о продукте.
Что делать администраторам
Первое и главное - обновить SharePoint Server Subscription Edition до сборки 16.0.20326.20190 или более поздней. Установку стоит провести вне рабочих часов: обновление затрагивает серверную часть и требует перезапуска служб. Тем, кто ещё не переходил на Subscription Edition, нужно поставить пакет для своей ветки - 2016 или Enterprise Server 2016.
Пока обновление не установлено, разумно сузить круг учётных записей с доступом к серверу. Проверьте, у кого сохранились активные сессии и права, выданные под разовые задачи. Отдельно стоит просмотреть журналы на предмет запросов, которые выходят за рамки обычного поведения пользователей. Такие следы могут указывать на попытки использовать ошибку до установки исправления.
История с CVE-2026-88164 напоминает о простой вещи. Ошибки авторизации не выглядят эффектно и редко попадают в новости как что-то из ряда вон выходящее, но именно они превращают обычную учётную запись в инструмент доступа к закрытым данным. В корпоративных системах, где права раздаются годами и редко пересматриваются, цена такой ошибки оказывается выше, чем у большинства сетевых атак извне.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-88164
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-88164
