Office Access: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Office Access erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Vektor setzt eine Benutzerinteraktion voraus, weshalb ein Benutzer eine präparierte Datei öffnen oder die Schwachstelle anderweitig auslösen muss. Eine erfolgreiche Ausnutzung würde die Vertraulichkeit, Integrität und Verfügbarkeit des Systems betreffen. CVSS 8.8 (hoch); Microsoft stuft die Schwachstelle als wichtig ein.

Betroffen

• Microsoft 365 Apps for Enterprise (32-Bit und x64): 16.0.1 vor dem Build, der auf der Release-Seite von Microsoft angegeben ist (der Link im CVE-Eintrag ist fehlerhaft)
• Microsoft Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.0 vor 16.0.17932.21140
• Access 2016 und Office 2019: Unbekannt.

Behoben in

• Microsoft Office LTSC 2021: 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.17932.21140
• Microsoft 365 Apps for Enterprise: Unbekannt; die MSRC-Sicherheitsmitteilung und die Office-Release-Seite von Microsoft prüfen.

Umgehung

Unbekannt. Es wurde keine vom Hersteller veröffentlichte Gegenmassnahme gefunden.

Ausnutzung

• Zum Zeitpunkt der Recherche (2026-11-10) sind keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept bekannt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• CVSS-Reifegrad des Exploit-Codes: Unproven (E:U).

Unsere Empfehlung

• Die MSRC-Sicherheitsmitteilung prüfen und die korrigierte Version für jeden verwendeten Office-Kanal bestätigen.
• Die Office-Sicherheitsupdates vom November 2026 einspielen, zuerst auf Geräten mit installiertem Access.
• Makros und unbekannte Anhänge blockieren und das Öffnen von Office-Dateien aus dem Internet wo möglich einschränken.
• Auf eine Aufnahme in den CISA-KEV-Katalog oder die Veröffentlichung eines Proof of Concept achten und die NVD erneut prüfen, wo die CVE noch als Awaiting Analysis geführt wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-111301 www.cve.org
• Microsoft Security Update Guide CVE-2026-111301 msrc.microsoft.com
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com
• Newsbeep: CVE-2026-111301 severity www.newsbeep.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:16.