Microsoft Office Access: Remote Code Execution durch heap-basierten Pufferüberlauf

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Access erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Gemäss den Research-Notizen erfordert die Ausnutzung höchstwahrscheinlich, dass ein Benutzer eine präparierte Access-Datei öffnet, etwa eine per E-Mail erhaltene oder heruntergeladene Datei. Der CVSS-Wert beträgt 8.8 (hoch). Die SSVC-Bewertung von CISA stuft die Ausnutzung als keine und die Automatisierbarkeit als nein ein.

Betroffen

• Microsoft 365 Apps for Enterprise: ab 16.0.1, Build für die Korrektur unbekannt
• Microsoft Office LTSC 2021: ab 16.0.1 bis vor 16.0.14334.20974
• Microsoft Office LTSC 2024: ab 16.0.0 bis vor 16.0.17932.21056
• Office 2019 und Microsoft 365 Apps for business sind in den Versionshinweisen von Microsoft aufgeführt; betroffener Bereich unbekannt

Behoben in

• Microsoft Office LTSC 2021: 16.0.14334.20974
• Microsoft Office LTSC 2024: 16.0.17932.21056
• Microsoft 365 Apps: Unbekannt.
• Office 2019: Unbekannt.

Umgehung

• Keine vom Hersteller dokumentierte Massnahme. Das Einspielen des Patches ist die primäre Korrektur.
• Bis zur Korrektur unaufgeforderte Access-Dateien (.accdb, .mdb) aus E-Mails und Downloads einschränken, die Geschützte Ansicht aktiviert lassen und das Öffnen von Dateien aus unsicheren Quellen einschränken (allgemeine Empfehlung, nicht herstellerspezifisch).

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt.
• Nicht im CISA-KEV-Katalog aufgeführt (gemäss einer Drittquelle, erneut zu prüfen).
• Kein öffentlicher Proof of Concept gefunden.
• EPSS laut einer Momentaufnahme etwa 0.008 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).

Unsere Empfehlung

• Die Microsoft-Office-Updates vom Oktober 2026 auf allen Systemen mit Microsoft 365 Apps, Office 2019 und Office LTSC installieren.
• Die Build-Nummern für Microsoft 365 Apps und Office 2019 vor dem Rollout im MSRC-Advisory überprüfen.
• Ermitteln, auf welchen Geräten Access und Access-basierte Geschäftsdatenbanken eingesetzt werden.
• Bis zur Korrektur Access-Dateien aus unsicheren Quellen blockieren oder einschränken und die Geschützte Ansicht aktiviert lassen.
• CISA KEV und öffentliche Exploit-Quellen auf Änderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-105598 msrc.microsoft.com
• Microsoft 365 Apps security updates (release notes) learn.microsoft.com
• NVD/CNA record CVE-2026-105598 (Vulners) vulners.com
• Affected versions and KEV status (Strix, third-party) www.strix.ai
• EPSS and VulnCheck enrichment (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:22.