Microsoft Office Outlook: Remote Code Execution durch Heap-based Buffer Overflow

Zusammenfassung

Microsoft Office Outlook enthält einen Heap-based Buffer Overflow (CWE-122, CWE-190), der einem nicht authentifizierten Angreifer aus der Ferne die Ausführung von Code ermöglicht. Für die Ausnutzung muss ein Benutzer eine Aktion ausführen, etwa das Öffnen einer präparierten Nachricht oder Datei; die genaue Benutzeraktion wird in den Quellen nicht beschrieben. Der CVSS-Score beträgt 8.8 (hoch), und es sind weder ein öffentlicher Proof of Concept noch eine Ausnutzung in freier Wildbahn bekannt.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (genauer Build unbekannt)
• Microsoft Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.0 vor 16.0.17932.21140

Behoben in

• Microsoft Office LTSC 2021: 16.0.14334.21048 und höher
• Microsoft Office LTSC 2024: 16.0.17932.21140 und höher
• Microsoft 365 Apps for Enterprise: Unbekannt. Den korrigierten Build im MSRC Security Update Guide prüfen.

Umgehung

Unbekannt. In den Quellen wurde keine Workaround-Massnahme gefunden.

Ausnutzung

• Ausnutzung in freier Wildbahn: Keine Hinweise bekannt (laut Recherchenotizen nicht im CISA KEV Katalog)
• Öffentlicher Proof of Concept: Keiner gefunden
• Der CVSS-Temporal-Vektor enthält E:U (Exploit-Reife unbewiesen)

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 für Microsoft 365 Apps und Office LTSC 2021/2024 so rasch wie möglich installieren.
• Den korrigierten Microsoft-365-Build im MSRC Security Update Guide bestätigen.
• Benutzer vor Nachrichten und Anhängen von unbekannten Absendern sowie vor unerwarteten Dateien warnen.
• NVD- und MSRC-Einträge auf Aktualisierungen zur Ausnutzung überwachen.
• Beachten, dass CVE-2026-124194 eine andere, aktiv ausgenutzte Outlook-Zero-Day-Lücke ist; auch diese patchen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-123377 msrc.microsoft.com
• CVE Record: CVE-2026-123377 www.cve.org
• Strix: CVE-2026-123377 www.strix.ai
• Offseq: November 2026 Patch Tuesday radar.offseq.com
• ITSecurityNews: Exploited Outlook zero-day among 1094 flaws patched www.itsecuritynews.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:17.