Microsoft Office Access: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Office Access erlaubt es einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Vektor bewertet den Angriff als Remote-Angriff ohne Berechtigungen, aber mit Benutzerinteraktion, mit vollständigen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der CVE-Eintrag beschreibt die nötige Benutzeraktion nicht; die Quellen bestätigen nicht, dass es sich um das Öffnen einer präparierten Office-Datei handelt.

Betroffen

• Microsoft 365 Apps for Enterprise: ab 16.0.1 vor dem im Link aka.ms/OfficeSecurityReleases genannten Build (Build-Nummer im CVE-Eintrag nicht angegeben)
• Microsoft Office LTSC 2021: ab 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC 2024: ab 16.0.0 vor 16.0.17932.21140
• Office 2016 und Office 2019 sind im CVE-Eintrag nicht aufgeführt.

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt. Die Build-Nummer ist im MSRC-Advisory zu prüfen.
• Microsoft Office LTSC 2021: 16.0.14334.21048 oder neuer
• Microsoft Office LTSC 2024: 16.0.17932.21140 oder neuer

Umgehung

Unbekannt. In den Quellen ist kein Workaround oder keine Massnahme dokumentiert.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung bekannt; CISA SSVC bewertet die Ausnutzung mit none und die Exploit-Reife mit Unproven.
• Zum Zeitpunkt der Veröffentlichung nicht im CISA-KEV-Katalog aufgeführt. Der Status sollte erneut geprüft werden.
• Kein öffentlicher Proof of Concept gefunden. Dies bedeutet, dass bisher nichts bekannt ist, nicht dass eine Ausnutzung ausgeschlossen ist.

Unsere Empfehlung

• Microsoft 365 Apps und Office LTSC über den üblichen Office-Updatekanal auf die korrigierten Builds aktualisieren und den genauen Build im MSRC-Advisory prüfen.
• Alle Office-Installationen mit Access inventarisieren und priorisieren.
• Bis zur Korrektur Office-Dateien aus unsicheren Quellen mit Vorsicht behandeln.
• Den CISA-KEV-Katalog auf Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• CVE Record CVE-2026-109493 www.cve.org
• GitHub issue #4034 (CVE alert) github.com
• Strix CVE-2026-109493 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:53.