Microsoft Office Outlook: Heapbasierter Pufferüberlauf ermöglicht Codeausführung
Zusammenfassung
Ein heapbasierter Pufferüberlauf in Microsoft Office Outlook (CVSS 8.8, CWE-122) erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Dafür muss das Opfer interagieren, zum Beispiel eine präparierte Nachrichtendatei öffnen. Der CNA-Eintrag von Microsoft nennt betroffene Builds von Microsoft 365 Apps for Enterprise sowie Office LTSC 2021 und 2024; die Korrektur ist Teil des Patch Tuesday vom November 2026.
Betroffen
- Microsoft 365 Apps for Enterprise: ab 16.0.1, vor dem auf https://aka.ms/OfficeSecurityReleases genannten korrigierten Build
- Office LTSC 2021: vor 16.0.14334.21048
- Office LTSC 2024: vor 16.0.17932.21140
Behoben in
- Microsoft 365 Apps for Enterprise: korrigierter Build laut https://aka.ms/OfficeSecurityReleases (genauer Build nicht bestätigt)
- Office LTSC 2021: 16.0.14334.21048 oder neuer
- Office LTSC 2024: 16.0.17932.21140 oder neuer
- Patch: Microsoft Patch Tuesday vom November 2026
Umgehung
Unbekannt. Es wurde kein spezifischer Workaround oder keine Massnahme gefunden.
Ausnutzung
- Laut der Berichterstattung zum Patch Tuesday ist keine Ausnutzung in freier Wildbahn vermerkt; bis Microsoft etwas anderes mitteilt, gilt die Schwachstelle nicht als bekannt ausgenutzt.
- Kein öffentlicher Proof of Concept gefunden.
- Die in diesem Monat ausgenutzte Outlook-Zero-Day-Lücke ist CVE-2026-124194 (Spoofing), eine andere CVE.
Unsere Empfehlung
- Microsoft 365 Apps und Office LTSC 2021/2024 auf die Builds vom November 2026 aktualisieren und den installierten Build mit dem Advisory abgleichen.
- CVE-2026-124194 gleichzeitig patchen; sie wird ausgenutzt und ist im CISA-KEV-Katalog gelistet.
- Unaufgeforderte Anhänge mit Nachrichtendateien am Mail-Gateway einschränken oder in einer Sandbox prüfen.
- NVD, das MSRC-Advisory und CISA KEV auf Änderungen überwachen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-110043 msrc.microsoft.com
- CVE Record CVE-2026-110043 www.cve.org
- Microsoft November 2026 Patch Tuesday (Cybersecurity News) cybersecuritynews.com
- Microsoft Patch Tuesday November 2026 (CyberScoop) cyberscoop.com
- Exploited Outlook zero-day among 1094 flaws patched (SecurityWeek) www.securityweek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:50.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.