Microsoft Office Access: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Office Access erlaubt einem nicht autorisierten Angreifer, über ein Netzwerk Code auszuführen. Die Ausnutzung erfordert eine hohe Angriffskomplexität und eine Benutzerinteraktion, jedoch keine Berechtigungen. CISA SSVC bewertet die Ausnutzung als keine und nicht automatisierbar, und es sind weder öffentlich verfügbarer Exploit-Code noch Ausnutzung in freier Wildbahn bekannt.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (genauer Build unbekannt, siehe MSRC)
• Microsoft Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140
• Andere Versionen (zum Beispiel Access 2016/2019 oder Office für Mac): Unbekannt, siehe MSRC-Advisory

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt, siehe MSRC-Advisory und aka.ms/OfficeSecurityReleases
• Microsoft Office LTSC 2021: 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.17932.21140

Umgehung

Unbekannt.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist kein öffentlicher Proof-of-Concept-Code und keine Ausnutzung in freier Wildbahn bekannt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• Ein Drittanbieter-Aggregator führt die Schwachstelle nicht im CISA-KEV-Katalog; dies wurde nicht direkt überprüft.

Unsere Empfehlung

• Das Office-Sicherheitsupdate für betroffene Builds so rasch wie möglich installieren, spätestens im nächsten regulären Update-Zyklus.
• Alle eingesetzten Office-Installationen und Access-Datenbanken erfassen, einschliesslich älterer Access-Dateien, die per E-Mail oder Dateifreigabe geteilt werden.
• Access-Dateien von unbekannten Absendern oder aus unsicheren Downloads bis zur Installation des Updates nicht öffnen.
• Auf öffentlichen Exploit-Code achten und eskalieren, falls dieser auftaucht oder Access auf öffentlich erreichbaren Servern läuft.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-109498 msrc.microsoft.com
• CVE.org CNA record: CVE-2026-109498 www.cve.org
• Strix: CVE-2026-109498 (third-party aggregator) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:03.