Microsoft Office Access: Heap-basierter Pufferüberlauf ermöglicht Codeausführung
Zusammenfassung
Ein Heap-basierter Pufferüberlauf in Microsoft Office Access ermöglicht die Remote Code Execution. Ein Benutzer muss eine speziell präparierte Datei öffnen, etwa eine per E-Mail erhaltene oder heruntergeladene Datei, bevor ein Angreifer Code ausführen kann. Eine Authentifizierung ist nicht erforderlich, und Microsoft meldet keine öffentliche Offenlegung der Schwachstelle.
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (genauer Build unbekannt)
- Office LTSC 2021: 16.0.1 bis 16.0.14334.20974
- Office LTSC 2024: 16.0.0 bis 16.0.17932.21056
- Office 2019, Office 2021, Office 2024 und Microsoft 365 Apps for business: in den Versionshinweisen von Microsoft aufgeführt, Build-Nummern unbekannt
Behoben in
- Office LTSC 2021: 16.0.14334.20974 oder neuer
- Office LTSC 2024: 16.0.17932.21056 oder neuer
- Microsoft 365 Apps: Unbekannt; Versionshinweise vom 13. Oktober 2026 unter aka.ms/OfficeSecurityReleases prüfen
Umgehung
- In den Quellen keine gefunden. Bis zur Behebung keine Access-Dateien (.accdb/.mdb) von unbekannten Absendern oder aus unsicheren Downloads öffnen, den geschützten Ansichtsmodus aktiviert lassen und eingehende Anhänge einschränken oder in einer Sandbox öffnen.
Ausnutzung
- Microsoft: nicht öffentlich offengelegt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- In der geprüften Quelle nicht im CISA-KEV-Katalog aufgeführt; keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Die Office-Sicherheitsupdates vom 13. Oktober 2026 auf allen Systemen mit Access installieren, zuerst die LTSC-2021- und LTSC-2024-Versionen unterhalb der korrigierten Builds, und den Microsoft-365-Apps-Build auf der MSRC-Seite bestätigen.
- Bis zur Behebung keine Access-Datenbanken von unbekannten Absendern oder aus unsicheren Downloads öffnen; geschützten Ansichtsmodus aktiviert lassen.
- MSRC-Seite und CISA KEV auf Änderungen überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-102849 msrc.microsoft.com
- Microsoft 365 Apps security updates (release notes) learn.microsoft.com
- Microsoft Patch Tuesday October 2026 review (Qualys) threatprotect.qualys.com
- CVE-2026-102849 mirror (OffSeq Radar) radar.offseq.com
- CVE-2026-102849 (Vulners, Microsoft MSCVE) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:30.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.