Microsoft Office Access: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Office Access, enthalten in Microsoft 365 Apps, Office LTSC 2021 und Office LTSC 2024, erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angriff erfordert, dass ein Opfer eine präparierte Datei öffnet oder einem präparierten Link folgt, es ist also eine Benutzerinteraktion nötig. Bei erfolgreicher Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems vollständig kompromittiert werden.

Betroffen

• Microsoft 365 Apps for Enterprise (16.0.1 bis zum korrigierten Build, genauer Build durch Microsoft noch zu bestätigen)
• Microsoft Office LTSC 2021: Versionen 16.0.1 bis vor 16.0.14334.20974 (noch zu verifizieren)
• Microsoft Office LTSC 2024: Versionen 16.0.0 bis vor 16.0.17932.21056 (noch zu verifizieren)
• CVSS 3.1 Basiswert 8.8 (NVD/CNA); VulDB nennt 5.5 und CWE-120

Behoben in

• Sicherheitsupdate Office vom Oktober 2026 für Microsoft 365 Apps, Office LTSC 2021 und Office LTSC 2024
• Genaue korrigierte Build-Nummern pro Kanal: Unbekannt. Bestätigung unter https://aka.ms/OfficeSecurityReleases und im MSRC-Advisory.

Umgehung

• Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden.
• Bis zur Behebung: nicht vertrauenswürdige Access-Dateien und Links einschränken oder blockieren und den Geschützten Ansicht-Modus aktiviert lassen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Laut den geprüften Quellen nicht in der CISA KEV gelistet.
• EPSS etwa 0.007 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
• Keine Berichte über Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Das Office-Update vom Oktober 2026 auf allen Clients mit installiertem Access einspielen, zuerst bei Rollen mit E-Mail- und Dateibearbeitung.
• Die korrigierten Builds im MSRC-Advisory und unter aka.ms/OfficeSecurityReleases bestätigen.
• Office-Build-Nummern im Inventar prüfen, um ungepatchte Endgeräte zu finden.
• Am selben Tag veröffentlichte verwandte CVEs im gleichen Zyklus patchen.
• CISA KEV und öffentliche Exploit-Quellen regelmässig erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-105591 msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Office security releases (aka.ms link referenced by MSRC) msrc.microsoft.com
• NVD copy (Vulners) vulners.com
• MS:CVE-2026-105591 (Vulners mirror) vulners.com
• VulDB entry 418022 vuldb.com
• CISA KEV status tracker (GitHub) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:15.