Microsoft Office Access: Remote Code Execution durch heap-basierten Pufferüberlauf
Zusammenfassung
Microsoft Office Access enthält einen heap-basierten Pufferüberlauf (CWE-122), der eine Remote Code Execution ermöglicht. Ein nicht autorisierter Angreifer kann Code auf dem System eines Opfers ausführen, wenn der Benutzer mit manipulierten Inhalten interagiert, etwa indem er eine Datei öffnet. Microsoft bewertet den CVSS-Basiswert mit 8.8. Microsoft hat Sicherheitsupdates veröffentlicht, und es wurde keine Ausnutzung gemeldet.
Betroffen
- Microsoft 365 Apps for Enterprise (32-Bit und 64-Bit): exakter Fix-Build pro Kanal nicht bestätigt, im MSRC prüfen
- Microsoft Office LTSC 2021 (32-Bit und 64-Bit): Versionen 16.0.1 bis vor 16.0.14334.20974
- Microsoft Office LTSC 2024 (32-Bit und 64-Bit): Versionen 16.0.0 bis vor 16.0.17932.21056
Behoben in
- Microsoft Office LTSC 2021: 16.0.14334.20974 oder neuer
- Microsoft Office LTSC 2024: 16.0.17932.21056 oder neuer
- Microsoft 365 Apps for Enterprise: Fix-Build in den Quellen nicht bestätigt; Build pro Kanal im MSRC-Update-Guide prüfen
Umgehung
Unbekannt. Microsoft hat keinen Workaround veröffentlicht; das Update ist die Behebung.
Ausnutzung
- Der temporale CVSS-Vektor von Microsoft gibt die Exploit-Code-Reife als 'Unproven' an.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Zum Zeitpunkt der Quellen nicht in der CISA KEV aufgeführt.
- Keine öffentlichen Proof-of-Concept- oder Ausnutzungsberichte gefunden.
Unsere Empfehlung
- Die Microsoft-Sicherheitsupdates vom Oktober 2026 für Microsoft 365 Apps und Office LTSC 2021/2024 prioritär installieren, besonders dort, wo Access installiert ist.
- Die installierte Version vor und nach dem Rollout mit dem MSRC-Update-Guide abgleichen.
- Bis zum Patch das Öffnen unbekannter Office-Dateien aus E-Mails und Dateifreigaben einschränken.
- CISA KEV und Microsoft-Updates auf Hinweise zur Ausnutzung überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC advisory msrc.microsoft.com
- Microsoft Office security release notes learn.microsoft.com
- Vulners MSCVE mirror vulners.com
- VulDB vuldb.com
- GitHub vulnerability alert github.com
- Qualys Patch Tuesday review, October 2026 threatprotect.qualys.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:31.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.