Microsoft Office Access: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf (CWE-122) in Microsoft Office Access erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der Angriff setzt voraus, dass ein Benutzer mit einer präparierten Datei oder einem Dokument interagiert, etwa einem geöffneten E-Mail-Anhang oder Download. Access ist eine optionale Komponente einiger Office- und Microsoft-365-Editionen, daher hängt die Exposition davon ab, ob es installiert ist.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (genaue Obergrenze nicht bestätigt)
• Microsoft Office LTSC 2021: 16.0.1 bis unter 16.0.14334.20974 (gemäss CNA-Eintrag)
• Microsoft Office LTSC 2024: 16.0.0 bis unter 16.0.17932.21056 (gemäss CNA-Eintrag)

Behoben in

Unbekannt. Der CNA-Eintrag nennt die Obergrenzen für Office LTSC 2021 (16.0.14334.20974) und Office LTSC 2024 (16.0.17932.21056). Die Schwelle für Microsoft 365 Apps konnte nicht bestätigt werden und unterscheidet sich zwischen den Drittquellen. Alle Builds vor dem Patchen im MSRC-Advisory prüfen.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.

Ausnutzung

• Kein Hinweis auf eine Ausnutzung gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Der EPSS-Wert liegt laut Aggregatoren bei etwa 0.7 %.
• Kein öffentlicher Proof of Concept gefunden. Dies schliesst einen solchen nicht aus.
• Der CISA-KEV-Status ist nicht bestätigt; den Katalog direkt prüfen.

Unsere Empfehlung

• Prüfen, ob Microsoft Access in Ihrer Office- und Microsoft-365-Umgebung installiert ist.
• Das Microsoft-Sicherheitsupdate für Ihren Kanal einspielen und dabei die Build-Schwellen aus dem MSRC-Advisory verwenden.
• Falls das Patchen verzögert wird, .accdb- und .mdb-Dateien am Mail-Gateway und auf Dateifreigaben blockieren oder in Quarantäne verschieben, sofern nicht geschäftlich erforderlich.
• Office-Dateiblockierungsrichtlinien einsetzen, um Access-Dateien aus dem Internet und aus E-Mails einzuschränken.
• Mitarbeitende für unerwartete Datenbank-Anhänge sensibilisieren.
• Auf Ausnutzung überwachen und den CISA-KEV-Katalog regelmässig prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-105716 msrc.microsoft.com
• Vulners mscve record CVE-2026-105716 vulners.com
• Strix CVE record CVE-2026-105716 www.strix.ai
• GitHub CVE issue 1853 (exploitation status) github.com
• Vulners Rapid7 record (EPSS) vulners.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:14.