Microsoft Office Outlook: Path Traversal führt zu Remote Code Execution

Zusammenfassung

Microsoft Outlook, Teil von Microsoft 365 Apps for Enterprise sowie Office LTSC 2021 und 2024, enthält eine Path-Traversal-Schwachstelle (CWE-22), die eine Codeausführung über das Netzwerk ermöglicht. Ein Angreifer benötigt einen gewissen gültigen Zugriff, etwa ein Postfach oder ein Konto mit geringen Rechten; ein Angreifer mit gültigem Zugriff oder ein kompromittierter Benutzer genügt. Das CVSS-3.1-Rating lautet 8.8 (hoch), doch der Vektor besagt, dass keine Benutzerinteraktion erforderlich ist. Die Schwachstelle ist nicht als ausgenutzt bekannt.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zur Fixversion, die in der Quelle nicht als Build-Nummer angegeben ist (siehe MSRC)
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140
• Unbekannt: ältere Click-to-Run-Kanäle und Mac-Builds

Behoben in

• Korrekturen veröffentlicht mit den Microsoft-Sicherheitsupdates vom November 2026 (Patch Tuesday)
• Office LTSC 2021: 16.0.14334.21048 oder neuer
• Office LTSC 2024: 16.0.17932.21140 oder neuer
• Microsoft 365 Apps for Enterprise: Unbekannt (Fixversion in den Quellen nicht angegeben; siehe MSRC)

Umgehung

Unbekannt. In den geprüften Quellen ist kein Workaround des Herstellers dokumentiert; es gilt das Einspielen des Patches.

Ausnutzung

• Zum Zeitpunkt der Erstellung nicht als ausgenutzt bekannt
• Nicht im CISA-KEV-Katalog gelistet
• Kein öffentlicher Proof-of-Concept-Exploit gefunden
• Nicht verwechseln mit dem aktiv ausgenutzten Outlook-Zero-Day im selben Release (andere CVE, NTLM-Hash-Leak)

Unsere Empfehlung

• Die Sicherheitsupdates von Office vom November 2026 auf allen Outlook- und Microsoft-365-Clients installieren
• Installierte Build-Nummern mit dem MSRC-Advisory abgleichen, insbesondere bei Microsoft 365 Apps
• Postfach- und Zugriffe mit geringen Rechten nach Möglichkeit einschränken und ungewöhnliche Outlook-Aktivitäten überwachen
• Auf die NVD-Anreicherung und Änderungen beim Exploitation-Status achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-124228 msrc.microsoft.com
• Strix: CVE-2026-124228 (CNA data copy) www.strix.ai
• Cybersecurity News: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:06.