Microsoft Office Outlook: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Microsoft Office Outlook enthält einen heap-basierten Pufferüberlauf (CWE-122). Gemäss dem CVE-Eintrag kann ein nicht autorisierter Angreifer über ein Netzwerk Code ausführen. Der CVSS-Vektor setzt eine hohe Angriffskomplexität und eine Benutzerinteraktion voraus, die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch bewertet. Eine Ausnutzung dieser spezifischen CVE ist nicht bestätigt.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (genauer Build unbekannt, siehe Herstellerhinweis)
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140

Behoben in

• Office LTSC 2021: 16.0.14334.21048
• Office LTSC 2024: 16.0.17932.21140
• Microsoft 365 Apps for Enterprise: Sicherheitsupdate vom November 2026 für den installierten Update-Kanal (genauer Build unbekannt, siehe https://aka.ms/OfficeSecurityReleases)

Umgehung

Unbekannt. Es wurde keine offizielle Massnahme identifiziert; das Einspielen von Updates hat Priorität.

• Allgemeine Massnahmen, nicht aus den Quellen: ausgehendes SMB (TCP 445) und NTLM soweit möglich einschränken und Vorschau sowie externe Inhalte von E-Mails einschränken, sofern die Richtlinien dies zulassen.

Ausnutzung

• Unbekannt für diese CVE.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Ein Zusammenhang mit einer im November 2026 ausgenutzten Outlook-Zero-Day-Lücke wurde berichtet, ist aber nicht bestätigt; diese Lücke wird anders beschrieben.
• Kein öffentlicher Proof of Concept gefunden; die CVE wird laut Angaben nicht im KEV-Katalog der CISA geführt.

Unsere Empfehlung

• Microsoft Office Outlook auf die oben genannten korrigierten Builds aktualisieren und die installierte Version auf allen Outlook-Clients überprüfen.
• Bei Microsoft-365-Installationen prüfen, ob das Sicherheitsupdate vom November 2026 im eingesetzten Update-Kanal angewendet wurde.
• Den Herstellerhinweis auf den genauen korrigierten Build von Microsoft 365 Apps for Enterprise und auf einen allfälligen aktualisierten Ausnutzungsstatus prüfen.
• Auf Anzeichen einer Ausnutzung achten und das Update dort priorisieren, wo Outlook unter Windows mit Microsoft 365 oder Office LTSC eingesetzt wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-119996 www.cve.org
• Microsoft Security Update Guide CVE-2026-119996 msrc.microsoft.com
• Rapid7 Patch Tuesday November 2026 (CVSS conflict) www.rapid7.com
• BleepingComputer: November 2026 Patch Tuesday www.bleepingcomputer.com
• Cryptika: Outlook zero-day report www.cryptika.com
• Strix: CVE-2026-119996 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:23.