Microsoft Office Outlook: Informationsoffenlegung durch Type Confusion
Zusammenfassung
Eine Type-Confusion-Schwachstelle in Microsoft Office Outlook erlaubt einem nicht authentifizierten Angreifer über das Netzwerk, Informationen offenzulegen. Für einen Angriff muss ein Benutzer mit einer präparierten Nachricht interagieren, beispielsweise indem er sie öffnet. Gemäss CVSS-Vektor ist nur die Vertraulichkeit betroffen. Das Herstellerdokument konnte nicht direkt überprüft werden, und eine Ausnutzung ist für diese CVE nicht bestätigt.
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 bis zum auf https://aka.ms/OfficeSecurityReleases aufgeführten Fix-Build (genauer Build unbekannt)
- Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
- Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (Build aus einem Drittanbieter-Spiegel, bei MSRC überprüfen)
Behoben in
- Office-Sicherheitsupdate vom 10. November 2026 (in den Microsoft-Versionshinweisen unter Outlook aufgeführt)
- Office LTSC 2021: 16.0.14334.21048 oder neuer
- Office LTSC 2024: 16.0.17932.21140 oder neuer (unverifiziert)
- Microsoft 365 Apps for Enterprise: Fix-Build unbekannt
Umgehung
Unbekannt. In den Quellen ist keine Workaround-Massnahme dokumentiert; das Patchen ist die einzige bekannte Gegenmassnahme.
Ausnutzung
- Laut Rapid7 nicht als aktiv ausgenutzt bekannt
- Kein öffentlicher Proof of Concept gefunden
- Laut den konsultierten Quellen nicht im CISA-KEV-Katalog aufgeführt
- Nicht mit CVE-2026-124194 verwechseln, einer separaten, aktiv ausgenutzten Outlook-Schwachstelle
Unsere Empfehlung
- Das Office-Sicherheitsupdate vom 10. November 2026 prioritär auf allen Outlook- und Office-Clients installieren
- Die Fix-Build-Nummern vor dem Rollout im MSRC Security Update Guide überprüfen
- Benutzer daran erinnern, unerwartete oder verdächtige E-Mails und Anhänge nicht zu öffnen
- Auf Aktualisierungen des Advisories und auf Berichte über Ausnutzung achten
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE.org record CVE-2026-119993 www.cve.org
- MSRC Security Update Guide msrc.microsoft.com
- Microsoft 365 Apps security updates learn.microsoft.com
- Rapid7 November 2026 Patch Tuesday www.rapid7.com
- Strix CVE-2026-119993 (secondary) www.strix.ai
- ThreatInt CVE-2026-119993 (secondary) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:05.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.