Microsoft Office Outlook: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Office Outlook erlaubt einem nicht autorisierten Angreifer aus dem Netzwerk, Code auf dem betroffenen System auszuführen. Der CVSS-Basiswert beträgt 8.8 (hoch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, der genaue Auslöser ist in den geprüften Quellen nicht angegeben. Microsoft 365 Apps for Enterprise, Office LTSC 2021 und Office LTSC 2024 sind als betroffen aufgeführt.

Betroffen

• Microsoft 365 Apps for Enterprise: ab 16.0.1, vor dem auf der Seite Microsoft Office Security Releases genannten Fix-Build
• Microsoft Office LTSC 2021: ab 16.0.1, vor 16.0.14334.21048
• Microsoft Office LTSC 2024: ab 16.0.0, vor 16.0.17932.21140

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt. Die Seite Microsoft Office Security Releases und das MSRC-Advisory prüfen.
• Microsoft Office LTSC 2021: 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.17932.21140
• Der Fix wird im Patch-Zyklus vom November 2026 erwartet; dies ist nicht bestätigt.

Umgehung

Unbekannt. In den geprüften Quellen ist keine Workaround- oder Schutzmassnahme dokumentiert.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA KEV: laut einem Aggregator nicht gelistet; nicht bei CISA bestätigt.
• Der CVE-Eintrag enthält die Exploit-Reife E:U (unbewiesen) und die Report-Vertrauenswürdigkeit RC:C (bestätigt).
• Nicht zu verwechseln mit CVE-2026-124194, einer separaten, aktiv ausgenutzten Spoofing-Schwachstelle in Outlook im selben Release.

Unsere Empfehlung

• Aufgrund des CVSS-Werts von 8.8 die Behebung mit hoher Priorität behandeln.
• Den Fix-Build pro Produkt im MSRC-Advisory prüfen und das Update auf allen Microsoft 365 Apps und Office LTSC Clients installieren.
• Bis zur Behebung Anhänge und Makros von unbekannten Absendern einschränken und Geschützte Ansicht für Dateien aus unsicheren Quellen verwenden. Dies sind allgemeine Massnahmen, keine CVE-spezifischen Gegenmassnahmen.
• Auf Absturzmeldungen von Outlook und verdächtige eingehende E-Mails achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-123380 msrc.microsoft.com
• CVE.org record CVE-2026-123380 www.cve.org
• BleepingComputer: November 2026 Patch Tuesday www.bleepingcomputer.com
• Strix: CVE-2026-123380 (aggregator, not authoritative) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:13.