Microsoft Office Access: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Access erlaubt einem nicht autorisierten Angreifer, über ein Netzwerk Code auszuführen. Access ist eine Client-Anwendung, daher muss ein Angreifer eine präparierte Datei oder einen präparierten Link bereitstellen, den ein Benutzer öffnet (Benutzerinteraktion), und die Angriffskomplexität ist hoch. Sobald ein Benutzer erreicht ist, ist keine Anmeldung erforderlich, weshalb E-Mail- und Download-Filter wichtig sind.

Betroffen

• Microsoft 365 Apps for Enterprise (genaue betroffene Builds: siehe MSRC-Advisory)
• Office LTSC 2021: vor 16.0.14334.20974 (Drittanbieterdaten, noch nicht bei Microsoft verifiziert)
• Office LTSC 2024: vor 16.0.17932.21056 (Drittanbieterdaten, noch nicht bei Microsoft verifiziert)
• Microsoft 365 Apps for Business, Office 2019, Office 2021 und Office 2024 sind in den Versionshinweisen von Microsoft vom Oktober 2026 für diese CVE aufgeführt; Versionsdetails unbekannt.

Behoben in

• Behoben in den Microsoft-Sicherheitsupdates vom 13. Oktober 2026.
• Genaue Build-Nummern der Fixes: siehe MSRC-Advisory. Keine Drittanbieter-Build-Listen verwenden.

Umgehung

Unbekannt. Kein Workaround des Herstellers gefunden; das Sicherheitsupdate ist die Behebung.

• Übergangsmassnahmen (nicht vom Hersteller): Access-Datenbankdateien (.accdb, .mdb) von externen Absendern blockieren oder in Quarantäne verschieben und nicht aus unsicheren Quellen öffnen.

Ausnutzung

• CISA KEV: zum Zeitpunkt der Recherche nicht aufgeführt; gegen den CISA-Katalog prüfen.
• Kein öffentlicher Proof-of-Concept gefunden (dies bedeutet, dass nichts gefunden wurde, nicht dass keiner existiert).
• EPSS 0.00548 (niedrig).
• Keine bekannte Ausnutzung in freier Wildbahn.

Unsere Empfehlung

• Die Microsoft-Office-Sicherheitsupdates vom 13. Oktober 2026 auf allen Systemen mit Microsoft 365 Apps, Office LTSC 2021 oder LTSC 2024 installieren und die Build-Nummern mit dem MSRC-Advisory abgleichen.
• Systeme priorisieren, die Access verwenden und externe Dateien erhalten.
• Prüfen, ob Access überhaupt installiert ist, und es dort entfernen, wo es nicht benötigt wird.
• Die gesamte Gruppe der Access-CVEs gemeinsam patchen (einschliesslich CVE-2026-105716 und CVE-2026-105717, die höher eingestuft sind).
• E-Mail-Anhänge und Downloads filtern und auf ungewöhnliche Office-Aktivitäten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC advisory CVE-2026-105714 msrc.microsoft.com
• Microsoft 365 Apps security update release notes learn.microsoft.com
• CNA record via Vulners vulners.com
• MSCVE data via Vulners (version ranges) vulners.com
• Rapid7 data via Vulners (EPSS, CWE) vulners.com
• NVD mirror via Vulners vulners.com
• Strix CVE page (third-party, possibly stale) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:34.