Microsoft Office Outlook: Remote Code Execution durch untrusted pointer dereference
Zusammenfassung
Microsoft Office Outlook enthält eine untrusted pointer dereference (CWE-822). Gemäss CVE-Eintrag kann ein nicht autorisierter Angreifer über das Netzwerk Code ausführen, und der CVSS-Vektor 8.8 zeigt, dass eine Benutzerinteraktion erforderlich ist. Die Einträge betreffen Microsoft 365 Apps for Enterprise sowie Office LTSC 2021 und 2024. Die NVD-Analyse war zum Zeitpunkt der Erstellung noch ausstehend.
Betroffen
- Microsoft 365 Apps for Enterprise ab 16.0.1 (obere Grenze in der Quelle nicht klar angegeben; fehlerhaft) - Office LTSC 2021 ab 16.0.1 bis vor 16.0.14334.21048 - Office LTSC 2024 ab 16.0.0 bis vor 16.0.17932.21140 - Outlook 2016: Unbekannt, nicht verifiziert
Behoben in
- Office LTSC 2021: 16.0.14334.21048 (gemäss Drittanbieter-Aggregator, nicht durch Microsoft bestätigt) - Office LTSC 2024: 16.0.17932.21140 (gemäss Drittanbieter-Aggregator, nicht durch Microsoft bestätigt) - Microsoft 365 Apps for Enterprise: Unbekannt. Der Build muss im MSRC-Advisory überprüft werden.
Umgehung
Unbekannt. Es wurde keine dokumentierte Umgehungsmassnahme gefunden.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden. - CISA-KEV-Status: nicht direkt verifiziert. - Kein öffentlicher Proof of Concept gefunden. - Nicht mit CVE-2026-124194 verwechseln, einer separaten Outlook-Schwachstelle, die Microsoft im gleichen Update-Zyklus als ausgenutzt markiert hat.
Unsere Empfehlung
- Die Office- und Outlook-Updates vom November 2026 prioritär installieren. - Den installierten Build auf jedem Gerät mit den korrigierten Versionen im MSRC-Advisory vergleichen. - Bis zur Behebung unerwünschte E-Mail-Anhänge und Links filtern. - Auf Ausnutzung und Herstellerupdates zu dieser CVE achten.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center advisory msrc.microsoft.com
- Strix CVE record (aggregator) www.strix.ai
- BleepingComputer: November 2026 Patch Tuesday www.bleepingcomputer.com
- NTCompatible: November 2026 Patch Tuesday www.ntcompatible.com
- Offseq Radar: November 2026 Patch Tuesday radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.