Microsoft Office Access: Heap-based Buffer Overflow ermöglicht Remote Code Execution

Zusammenfassung

Ein Heap-based Buffer Overflow in Microsoft Office Access erlaubt einem nicht autorisierten Angreifer über das Netzwerk, Code auszuführen, mit einem CVSS-v3.1-Basiswert von 8.8. Für die Ausnutzung ist eine Benutzerinteraktion nötig, etwa das Öffnen einer präparierten Access-Datei aus E-Mail, Download oder Netzlaufwerk. Microsoft hat Korrekturen veröffentlicht; zum Zeitpunkt der Erstellung wurden keine bekannte Ausnutzung und kein öffentlicher Proof of Concept gefunden.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zur korrigierten Version (genaue Version in den geprüften Quellen nicht von Microsoft bestätigt)
• Microsoft Office LTSC 2021: 16.0.1 bis unter 16.0.14334.20974
• Microsoft Office LTSC 2024: 16.0.0 bis unter 16.0.17932.21056

Behoben in

• Microsoft Office LTSC 2021: 16.0.14334.20974
• Microsoft Office LTSC 2024: 16.0.17932.21056
• Microsoft 365 Apps: Unbekannt; das Office-Sicherheitsupdate vom Oktober 2026 enthält die Korrektur. Drittquellen nennen Versionen wie 16.0.20430.20182 (Current Channel), die nicht gegen die Advisory von Microsoft verifiziert sind.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Protected View und Dateiblockierungsrichtlinien für Access-Dateien aus dem Internet und aus E-Mails aktiviert lassen.

Ausnutzung

• Es wurde kein Hinweis auf Ausnutzung in freier Wildbahn gefunden.
• Ein Tracker meldet, dass die CVE nicht im CISA-KEV-Katalog enthalten ist; dies wurde nicht direkt geprüft.
• Der EPSS-Wert liegt bei etwa 0.008 (niedrig).
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Es wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das Office-Sicherheitsupdate vom Oktober 2026 auf allen Microsoft-365-Apps- und Office-LTSC-Systemen installieren, zuerst auf Systemen, die Access-Dateien öffnen.
• Die installierte Version gegen das Security Update Guide von Microsoft prüfen, bevor sie als korrigiert dokumentiert wird.
• .accdb- und .mdb-Anhänge im Mail-Gateway blockieren oder in Quarantäne stellen, soweit der Betrieb dies zulässt.
• Benutzende anweisen, unbekannte Access-Dateien nicht zu öffnen und Protected View aktiviert zu lassen.
• Auf unerwartete Ausführung von Access-Dateien und ungewöhnliche Office-Prozessaktivität achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-105596 msrc.microsoft.com
• Microsoft 365 Apps security updates (release notes) learn.microsoft.com
• NVD record via vulners.com vulners.com
• Microsoft MSCVE record via vulners.com vulners.com
• VulnCheck/Vulnrichment record via vulners.com vulners.com
• Strix CVE record CVE-2026-105596 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:17.