Microsoft Office Outlook: Remote Code Execution durch nicht initialisierte Ressource

Zusammenfassung

Microsoft Office Outlook enthält eine Schwachstelle durch Verwendung einer nicht initialisierten Ressource (CWE-908), die es einem nicht authentifizierten Angreifer erlaubt, über das Netzwerk Code auszuführen. Der CVSS-Vektor weist auf eine hohe Angriffskomplexität und eine erforderliche Benutzerinteraktion hin, weshalb das Opfer voraussichtlich aktiv werden muss, etwa indem es eine präparierte Nachricht oder Datei öffnet; der genaue Auslöser wird im Eintrag nicht beschrieben. Bei einem erfolgreichen Angriff hätte der Angreifer auf dem betroffenen System vollständige Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Behebung erfolgt über Office-Sicherheitsupdates, nicht allein über das kumulative Windows-Update.

Betroffen

• Microsoft 365 Apps for Enterprise ab 16.0.1 vor dem Build, der auf https://aka.ms/OfficeSecurityReleases aufgeführt ist (Build-Nummer nicht bestätigt)
• Office LTSC 2021 ab 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024 ab 16.0.0 vor 16.0.17932.21140

Behoben in

• Office-Sicherheitsupdate vom 10. November 2026 für Microsoft 365 Apps for Enterprise, Office LTSC 2021 und Office LTSC 2024
• Minimale korrigierte Builds gemäss CNA-Eintrag: LTSC 2021 16.0.14334.21048, LTSC 2024 16.0.17932.21140
• Unbekannt: exakter korrigierter Build für Microsoft 365 Apps for Enterprise; bitte die Office-Sicherheitsversionshinweise prüfen
• Das kumulative Windows-Update allein behebt diese Outlook-Schwachstelle nicht

Umgehung

Unbekannt. Es wurde keine vom Hersteller veröffentlichte Workaround-Massnahme gefunden; das Einspielen des Patches ist die Behebung.

Ausnutzung

• Zum Zeitpunkt der Recherche nicht als aktiv ausgenutzt gekennzeichnet
• Öffentlicher Proof of Concept: unbekannt
• NVD-Status ist Awaiting Analysis; NVD-Bewertung und CISA-KEV-Status sind noch nicht bestätigt
• Nicht zu verwechseln mit CVE-2026-124194, einer separaten Outlook-Spoofing-Schwachstelle, die als aktiv ausgenutzt gekennzeichnet ist

Unsere Empfehlung

• Das Office-Sicherheitsupdate vom November 2026 umgehend auf allen Outlook- und Office-Clients installieren
• Den installierten Office-Build auf jedem Endgerät mit der MSRC-Build-Liste abgleichen und nicht allein auf das Windows-Update vertrauen
• Bis zur vollständigen Installation den Umgang mit unerwünschten E-Mails und Anhängen einschränken bzw. prüfen
• Diesen Eintrag erneut prüfen, sobald die NVD-Analyse und die MSRC-Build-Liste verfügbar sind

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-124227 msrc.microsoft.com
• CVE Record: CVE-2026-124227 www.cve.org
• Cybersecurity News: November 2026 Patch Tuesday cybersecuritynews.com
• CyberInsider: Microsoft November 2026 Patch Tuesday Outlook zero-day cyberinsider.com
• The Tech Hacker: November 2026 Patch Tuesday Outlook zero-day thetechhacker.com
• EUVD-2026-73825 (possibly related record, verify) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:15.