Microsoft Office Access: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution
Zusammenfassung
Ein heap-basierter Pufferüberlauf in Microsoft Office Access erlaubt einem nicht authentifizierten Angreifer, Code aus der Ferne auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte Access-Datei öffnet, zum Beispiel eine per E-Mail erhaltene. Der CVSS-3.1-Basiswert beträgt 8.8 (hoch).
Betroffen
- Microsoft 365 Apps for Enterprise (Current Channel, Monthly Enterprise Channel und Semi-Annual Channel; die genauen Bereiche sind zwischen den Quellen umstritten, siehe Empfehlung)
- Microsoft Office LTSC 2021: Versionen 16.0.1 bis unter 16.0.14334.20974
- Microsoft Office LTSC 2024: Versionen 16.0.0 bis unter 16.0.17932.21056 (gemäss einer sekundären Quelle, nicht von Microsoft bestätigt)
Behoben in
- Microsoft 365 Apps Current Channel: 16.0.20430.20182 oder neuer (gemäss sekundärem Spiegel)
- Microsoft 365 Apps Monthly Enterprise Channel: 16.0.20430.20180, 16.0.20326.20232 oder 16.0.20228.20276 (gemäss sekundärem Spiegel und Microsoft-Versionshinweisen)
- Office LTSC 2021: 16.0.14334.20974 oder neuer
- Office LTSC 2024 und Semi-Annual Channel: Unbekannt. Die Quellen widersprechen sich; in der MSRC-Sicherheitsmitteilung prüfen.
Umgehung
Unbekannt. Kein Workaround des Herstellers gefunden. Das Patchen ist die primäre Massnahme.
Ausnutzung
- CISA KEV: nicht gelistet.
- Ausnutzung in freier Wildbahn: keine Hinweise in den Quellen gefunden.
- Öffentlicher Proof of Concept: keiner gefunden; als unbekannt behandeln.
- EPSS: etwa 0.0076 (niedrig).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle Systeme mit installiertem Microsoft Access ermitteln, einschliesslich Microsoft 365 Apps und Office LTSC, und pro Client den Update-Kanal und die Build-Nummer prüfen.
- Die Sicherheitsupdates vom Oktober 2026 zuerst auf diesen Systemen installieren und den Build anhand der MSRC-Sicherheitsmitteilung bestätigen, da die Quellen bei einigen Kanälen widersprüchlich sind.
- Bis zum Patch keine Access-Dateien (.accdb, .mdb) aus unsicheren Quellen öffnen; solche Anhänge am Mail-Gateway blockieren oder in Quarantäne verschieben.
- Protected View aktiviert lassen und Benutzer vor unerwarteten Datenbankanhängen warnen.
- Ungewöhnliche Access-Aktivitäten und Phishing-Kampagnen mit Datenbankdateien überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center advisory msrc.microsoft.com
- NVD mirror (Vulners) vulners.com
- Microsoft version ranges mirror (Vulners) vulners.com
- Microsoft 365 Apps security update release notes learn.microsoft.com
- Strix CVE page www.strix.ai
- GitHub CVE tracking issue github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.