Microsoft Office Access: Heap-basierter Pufferüberlauf ermöglicht Codeausführung
Zusammenfassung
Ein heap-basierter Pufferüberlauf in Microsoft Office Access erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Wert beträgt 8.8 (CVSS 3.1, hoch). Benutzerinteraktion ist erforderlich, daher muss ein Benutzer typischerweise manipulierte Inhalte öffnen oder bearbeiten; dies ist aus dem Vektor abgeleitet, und eine Auslieferungsmethode ist nicht dokumentiert. Betroffen sind Microsoft 365 Apps for Enterprise sowie Office LTSC 2021 und 2024 mit Builds unterhalb der korrigierten Versionen.
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 vor dem Build, der unter https://aka.ms/OfficeSecurityReleases aufgeführt ist
- Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
- Office LTSC 2024: 16.0.0 vor 16.0.17932.21140
- Office 2016, Office 2019 und andere Editionen: Unbekannt.
Behoben in
- Microsoft 365 Apps for Enterprise: Korrigierter Build unbekannt; siehe https://aka.ms/OfficeSecurityReleases
- Office LTSC 2021: 16.0.14334.21048
- Office LTSC 2024: 16.0.17932.21140
- Veröffentlicht mit dem Patch Day im November 2026.
Umgehung
- Unbekannt. In den geprüften Quellen ist kein Workaround dokumentiert. Die Installation des Sicherheitsupdates ist die praktische Lösung.
Ausnutzung
- In den geprüften Quellen nicht als ausgenutzt aufgeführt (Strix-Tracker: KEV No). Kein Eintrag im CISA KEV gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Microsoft 365 Apps und Office LTSC Clients auf die aktuellen Builds aus dem MSRC-Advisory und dem aka.ms-Link patchen.
- Prüfen, ob Office 2016 oder Office 2019 im Einsatz sind, und deren Status bei MSRC verifizieren.
- Access-Anhänge in Mail-Gateways blockieren oder einschränken, falls Ihr Betrieb sie nicht benötigt.
- Benutzer vor unaufgeforderten Access-Dateien warnen und auf verdächtige Office-Prozessaktivitäten überwachen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center advisory CVE-2026-110058 msrc.microsoft.com
- CVE Record CVE-2026-110058 www.cve.org
- Strix tracker CVE-2026-110058 www.strix.ai
- BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:44.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.