Microsoft Office Access: Heap-based Buffer Overflow ermöglicht Codeausführung
Zusammenfassung
Ein Heap-based Buffer Overflow in Microsoft Office Access erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Für die Ausnutzung muss ein Benutzer eine Aktion ausführen, etwa eine manipulierte Datei oder ein manipuliertes Dokument öffnen, und es sind keine Berechtigungen nötig. Der CVSS-3.1-Basiswert laut NVD beträgt 8.8 (Hoch).
Betroffen
- Microsoft 365 Apps for Enterprise: betroffen ab 16.0.1, obere Grenze nicht bestätigt (siehe MSRC)
- Office LTSC 2021: 16.0.1 bis vor 16.0.14334.20974 (CVE-Eintrag)
- Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21056 (CVE-Eintrag)
- Andere Quellen nennen abweichende Build-Nummern. Vor einer Verlass auf diese Nummern im MSRC-Advisory prüfen.
Behoben in
- Das Office-Sicherheitsupdate vom Oktober 2026 für den eigenen Update-Kanal installieren (Veröffentlichungsdatum 13. Oktober 2026).
- Genaue korrigierte Build-Nummern pro Kanal: Unbekannt. Im MSRC-Advisory prüfen.
Umgehung
- Kein Workaround des Herstellers bestätigt. Unbekannt. Im MSRC-Advisory prüfen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- In den geprüften Quellen nicht im CISA-KEV-Katalog gelistet. Der EPSS-Wert liegt bei etwa 0.7 Prozent.
- In den geprüften Quellen wurden kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Das Office-Sicherheitsupdate vom Oktober 2026 auf allen Clients mit installiertem Access einspielen.
- Bis zur Korrektur Protected View und Makro-Einschränkungen aktiviert lassen und unaufgeforderte Access-Dateien (.accdb, .mdb) mit Vorsicht behandeln.
- Im MSRC-Advisory die korrigierten Build-Nummern prüfen und den CISA-KEV-Katalog erneut kontrollieren.
- Auf eine Aufnahme in den KEV-Katalog oder öffentlichen Exploit-Code achten und bei einem Treffer eskalieren.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-105597 msrc.microsoft.com
- Microsoft 365 Apps security updates learn.microsoft.com
- NVD mirror on Vulners: CVE-2026-105597 vulners.com
- Vulners MSCVE entry: MS:CVE-2026-105597 vulners.com
- Vulnrichment entry: CVE-2026-105597 vulners.com
- Strix CVE entry: CVE-2026-105597 www.strix.ai
- CVE configuration data (cve.yack.one) cve.yack.one
- Microsoft Security Release Notes: October 2026 msrc.microsoft.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.