Microsoft Office Outlook: Remote Code Execution durch Use after Free
Zusammenfassung
Eine Use-after-Free-Schwachstelle (CWE-416) in Microsoft Office Outlook erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Laut Sekundärberichten muss der Angreifer eine speziell präparierte Nachrichtendatei senden und den Empfänger dazu bringen, sie in Outlook zu öffnen, weshalb eine Benutzerinteraktion nötig ist. Für diese CVE wird keine Ausnutzung angegeben, und die Auswirkung wird als vollständig eingestuft (CVSS 3.1 Basiswert 8.8).
Betroffen
- Microsoft 365 Apps for Enterprise (ab 16.0.1, vor dem behobenen Build auf der Office-Sicherheitsupdate-Seite)
- Office 365 für Mac (ab 1.0.0 vor 16.115.26110837)
- Office LTSC 2021 (ab 16.0.1 vor 16.0.14334.21048)
- Office LTSC 2024 (als betroffen aufgeführt ab 16.0.0; behobener Build im CVE-Eintrag nicht bestätigt)
- Office LTSC für Mac 2021 und 2024 (ab 16.0.0 bzw. 16.0.1 vor 16.115.26110837 gemäss CNA-Eintrag, zu überprüfen)
Behoben in
- Microsoft 365 Apps for Enterprise: Unbekannt, auf MSRC und aka.ms/OfficeSecurityReleases prüfen
- Office 365 für Mac: 16.115.26110837
- Office LTSC 2021: 16.0.14334.21048
- Office LTSC 2024: Unbekannt, eine Drittquelle nennt 16.0.17932.21140, beim Hersteller prüfen
- Office LTSC für Mac 2021 und 2024: Unbekannt, eine Drittquelle nennt 16.115.26110837, beim Hersteller prüfen
Umgehung
Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Interne Massnahmen, die nicht aus Quellen stammen: riskante Anhangtypen am Mail-Gateway einschränken oder isolieren und Benutzer schulen, unerwartete Nachrichten- oder Office-Dateien nicht zu öffnen.
Ausnutzung
- In freier Wildbahn ausgenutzt: nicht angegeben für diese CVE.
- Öffentlicher Proof of Concept: unbekannt.
- CISA SSVC: Ausnutzung keine, Automatisierbar nein, Technische Auswirkung total.
Unsere Empfehlung
- Microsoft 365 Apps und Office LTSC Clients prioritär patchen.
- Die behobenen Build-Nummern vor dem Rollout auf dem MSRC-Advisory und auf aka.ms/OfficeSecurityReleases prüfen.
- Sicherstellen, dass alle Endgeräte die behobenen Builds einsetzen, inklusive Mac-Clients.
- Riskante Anhänge am Mail-Gateway filtern und Benutzer für unerwartete Dateien sensibilisieren.
- Die ausstehende NVD-Analyse im Auge behalten.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide msrc.microsoft.com
- CVE.org CVE Record www.cve.org
- Cybersecurity News: November 2026 Patch Tuesday cybersecuritynews.com
- Rescana: Patch Tuesday November 2026 www.rescana.com
- Strix AI: CVE-2026-110068 www.strix.ai
- Trinetriops: Patch Tuesday November 2026 trinetriops.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.