Microsoft Office Outlook: Remote Code Execution durch ungültigen Zeiger
Zusammenfassung
Microsoft Office Outlook enthält eine Schwachstelle für Remote Code Execution, die durch die Freigabe eines ungültigen Zeigers oder einer ungültigen Referenz (CWE-763) verursacht wird. Gemäss CVE-Eintrag kann ein nicht authentifizierter Angreifer über das Netzwerk Code ausführen, sofern ein Benutzer mit einer manipulierten Nachricht interagiert; der CVSS-3.1-Basiswert beträgt 8.8. Microsoft hat die Schwachstelle mit den Updates vom November 2026 (Patch Tuesday) behoben. Zum Zeitpunkt der Recherche war sie nicht als aktiv ausgenutzt markiert und es wurde kein öffentlicher Proof of Concept gefunden.
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 bis zum Build, der unter aka.ms/OfficeSecurityReleases aufgeführt ist (genauer behobener Build unbekannt)
- Office LTSC 2021: Versionen vor 16.0.14334.21048
- Office LTSC 2024: Versionen vor 16.0.17932.21140
- Mac-Versionen sind im CVE-Eintrag für diese CVE nicht aufgeführt
Behoben in
- Office LTSC 2021: 16.0.14334.21048 oder neuer
- Office LTSC 2024: 16.0.17932.21140 oder neuer
- Microsoft 365 Apps for Enterprise: aktueller Build aus den Updates vom November 2026 (genauer Build unbekannt)
Umgehung
- Es ist keine Umgehungslösung bekannt. Die Sicherheitsupdates vom November 2026 installieren.
- Unbekannt: ob das MSRC-Advisory provisorische Massnahmen beschreibt.
Ausnutzung
- Zum Zeitpunkt der Recherche nicht als aktiv ausgenutzt markiert.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Der KEV-Status wurde nicht gegen den CISA-Katalog geprüft (eine Quelle führt die CVE nicht auf).
- Kein öffentlicher Proof of Concept gefunden.
- Nicht zu verwechseln mit CVE-2026-124194, einer separaten Spoofing-Schwachstelle in Outlook aus demselben Release, die Microsoft als aktiv ausgenutzt meldet.
Unsere Empfehlung
- Die Updates vom November 2026 für Microsoft 365 Apps und Office LTSC auf allen Outlook-Clients umgehend installieren.
- Den installierten Microsoft-365-Build mit der Seite aka.ms/OfficeSecurityReleases abgleichen.
- Bis zum Patch sicherstellen, dass Benutzer keine unerwarteten Nachrichten von unbekannten Absendern öffnen oder in der Vorschau anzeigen.
- Das MSRC-Advisory und den CISA-KEV-Katalog auf Änderungen des Ausnutzungsstatus überwachen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center advisory msrc.microsoft.com
- CVE Record CVE-2026-111309 www.cve.org
- Strix CVE-2026-111309 www.strix.ai
- Qualys Patch Tuesday review November 2026 blog.qualys.com
- Cybersecurity News: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:03.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.