Microsoft Office Outlook: Remote Code Execution durch Stack-based Buffer Overflow

Zusammenfassung

Ein Stack-based Buffer Overflow in Microsoft Office Outlook erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auf dem betroffenen System auszuführen. Für den Angriff muss ein Benutzer eine Aktion ausführen, der genaue Auslöser ist in den Quellen nicht angegeben. Der CVSS-Basiswert liegt bei 8.8 (hoch) mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die NVD-Analyse war zum Zeitpunkt der Erfassung ausstehend und eine Ausnutzung wurde nicht bestätigt.

Betroffen

• Microsoft 365 Apps for Enterprise (32-bit und x64): 16.0.1 vor dem unter aka.ms/OfficeSecurityReleases genannten Fix-Build (Build-Nummer unbekannt)
• Microsoft Office LTSC 2021 (32-bit und x64): 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC 2024 (32-bit und x64): 16.0.0 vor 16.0.17932.21140
• Mac-Versionen: im CVE-Eintrag nicht aufgeführt
• Neues Outlook und Outlook im Web: Unbekannt

Behoben in

• Microsoft Office LTSC 2021: 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.17932.21140
• Microsoft 365 Apps for Enterprise: Unbekannt (siehe Microsoft-Advisory)

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.

Ausnutzung

• Zum Zeitpunkt der Erfassung wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.
• Der CVSS-Vektor enthält E:U (Exploit-Reife: Unproven).
• Derzeit nicht im CISA-KEV-Katalog.
• Nicht verwechseln mit CVE-2026-124194, einer separaten Outlook-Schwachstelle, die als ausgenutzt gemeldet wurde.

Unsere Empfehlung

• Sicherheitsupdate für Microsoft 365 Apps, Office LTSC 2021 und LTSC 2024 im regulären Patch-Zyklus installieren, aufgrund des CVSS-Werts mit erhöhter Priorität.
• Den Fix-Build für Microsoft 365 im MSRC-Advisory prüfen.
• Die installierten Build-Nummern auf allen Desktop-Outlook-Clients kontrollieren.
• Benutzer auf Vorsicht bei unerwarteten E-Mails und Anhängen hinweisen und auf verdächtige Outlook- oder Office-Aktivitäten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-123375 msrc.microsoft.com
• CVE.org record CVE-2026-123375 www.cve.org
• Strix.ai mirror CVE-2026-123375 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:16.