Microsoft Office Outlook: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Outlook erlaubt einem nicht authentifizierten Angreifer aus der Ferne, Code auf dem betroffenen System auszuführen. Für die Ausnutzung muss ein Benutzer mit einer schädlichen Nachricht oder Datei interagieren, was vor allem per E-Mail zu erwarten ist. Der Hersteller stuft die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein (CVSS 8.8, Bewertung der CNA von Microsoft; die Analyse durch die NVD steht noch aus).

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zur korrigierten Version (genaue Version im CNA-Eintrag nicht angegeben)
• Microsoft Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.0 vor 16.0.17932.21140
• Outlook 2016, Office 2019 und Outlook für Mac: im geprüften Eintrag nicht aufgeführt; bei MSRC prüfen

Behoben in

• Microsoft Office LTSC 2021: 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.17932.21140
• Microsoft 365 Apps for Enterprise: Unbekannt. Siehe die Microsoft-Versionsseite https://aka.ms/OfficeSecurityReleases

Umgehung

• Unbekannt. Es wurde keine Workaround gefunden; das Sicherheitsupdate ist anzuwenden.

Ausnutzung

• Der CVSS-Vektor von Microsoft markiert die Exploit-Reife als Unproven (E:U), was bedeutet, dass zum Zeitpunkt der Veröffentlichung kein Exploit-Code bekannt war.
• Es wurden keine Berichte über Ausnutzung in freier Wildbahn oder öffentlichen Proof-of-Concept-Code gefunden.
• Nicht zu verwechseln mit CVE-2026-124194, einer separaten Outlook-Schwachstelle, die als ausgenutzt gemeldet wurde.

Unsere Empfehlung

• Den MSRC-Eintrag auf die genaue korrigierte Microsoft-365-Apps-Version und auf weitere betroffene Outlook- oder Office-Versionen in Ihrer Umgebung prüfen.
• Die Sicherheitsupdates für Microsoft 365 Apps, Office LTSC 2021 und Office LTSC 2024 prioritär installieren.
• Benutzer darauf hinweisen, keine unerwarteten Anhänge oder Links von externen Absendern zu öffnen.
• CVE-2026-124194 im selben Update-Zyklus priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-123376 msrc.microsoft.com
• CVE Record CVE-2026-123376 www.cve.org
• BleepingComputer: November 2026 Patch Tuesday www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:16.