Microsoft Office Outlook: Remote Code Execution durch Integer-Überlauf
Zusammenfassung
Microsoft Office Outlook enthält eine Schwachstelle durch einen Integer-Überlauf oder Wraparound, die eine Remote Code Execution ermöglicht. Laut CVE-Eintrag sind Microsoft 365 Apps for Enterprise, Office LTSC 2021 und Office LTSC 2024 vor den korrigierten Builds betroffen. Ein nicht authentifizierter Angreifer kann die Lücke über das Netzwerk ausnutzen, wobei die Angriffskomplexität hoch ist und eine Benutzerinteraktion nötig ist; der wahrscheinliche Angriffsweg ist eine präparierte Nachricht, die jedoch in den Quellen nicht bestätigt ist.
Betroffen
- Microsoft 365 Apps for Enterprise: ab 16.0.1, vor dem auf https://aka.ms/OfficeSecurityReleases aufgeführten Build (genauer Build unbekannt)
- Microsoft Office LTSC 2021: ab 16.0.1, vor 16.0.14334.21048
- Microsoft Office LTSC 2024: ab 16.0.0, vor 16.0.17932.21140
- Office 2016, Office 2019, Outlook für Mac und Outlook mobil: Unbekannt
Behoben in
- Microsoft 365 Apps for Enterprise: Office-Sicherheitsupdate vom November 2026 (genauer Build: auf MSRC prüfen)
- Microsoft Office LTSC 2021: 16.0.14334.21048 oder neuer
- Microsoft Office LTSC 2024: 16.0.17932.21140 oder neuer
Umgehung
Unbekannt.
Ausnutzung
- In den geprüften Quellen ist keine Ausnutzung bekannt. Microsoft beschreibt die Schwachstelle nicht als ausgenutzt.
- Es wurde kein öffentlicher Proof of Concept gefunden. Die Schwachstelle ist nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Prüfen Sie auf jedem Client die Microsoft 365 Apps- bzw. Office-Version und den Update-Kanal.
- Installieren Sie das Office-Sicherheitsupdate vom November 2026 und überprüfen Sie den genauen korrigierten Build auf der MSRC-Seite.
- Installieren Sie die Korrektur für die aktiv ausgenutzte Outlook-Zero-Day-Lücke CVE-2026-124194 im gleichen Zyklus.
- Überwachen Sie die Veröffentlichung eines Proof of Concept oder eine Aufnahme in den KEV-Katalog und prüfen Sie NVD erneut, da die Analyse dort noch aussteht.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-123378 www.cve.org
- Microsoft Security Update Guide CVE-2026-123378 msrc.microsoft.com
- Strix CVE-2026-123378 www.strix.ai
- Patch Tuesday November 2026 list (newsbeep) www.newsbeep.com
- Tenable: November 2026 Patch Tuesday (CVE-2026-124194) www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.