Microsoft Office Outlook: Remote Code Execution durch Heap-basierten Pufferüberlauf
Zusammenfassung
Ein Heap-basierter Pufferüberlauf in Microsoft Office Outlook erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auf dem betroffenen System auszuführen. Laut dem CVE-Eintrag von Microsoft sind keine Berechtigungen und keine Benutzerinteraktion nötig, und Microsoft nennt die Leseansicht als Auslösevektor, weshalb eine manipulierte E-Mail ausreichen kann. Der CVSS-Basiswert beträgt 9.8 (kritisch). Microsoft hat Sicherheitsupdates veröffentlicht; bisher wurde keine Ausnutzung gemeldet.
Betroffen
- Microsoft 365 Apps for Enterprise (32-Bit und 64-Bit; genauer Versionsbereich gemäss MSRC-Advisory)
- Microsoft Office LTSC 2021 (32-Bit und 64-Bit): Versionen 16.0.1 bis unter 16.0.14334.20974 (gemäss CVE-Eintrag)
- Microsoft Office LTSC 2024 (32-Bit und 64-Bit): Versionen 16.0.0 bis unter 16.0.17932.21056 (gemäss CVE-Eintrag)
- Eigenständiges Office 2019, Office 2016 und Outlook für Mac: Unbekannt.
Behoben in
- Sicherheitsupdates veröffentlicht am 13. Oktober 2026 (Microsoft Patch Tuesday).
- Microsoft 365 Apps: Unbekannt (fixierten Build im MSRC-Advisory prüfen).
- Office LTSC 2021: 16.0.14334.20974 oder neuer.
- Office LTSC 2024: 16.0.17932.21056 oder neuer.
Umgehung
- Kein von Microsoft dokumentierter Workaround. Unbekannt.
- Die Leseansicht und Vorschau von Outlook können bis zum Abschluss der Patches per Gruppenrichtlinie deaktiviert werden; dies ist eine Empfehlung der Analysten und für diese CVE nicht validiert.
Ausnutzung
- Microsoft stuft die Ausnutzung als weniger wahrscheinlich ein; bisher wurde keine Ausnutzung gemeldet.
- CISA SSVC: Ausnutzung keine, automatisierbar ja.
- Nicht im CISA-KEV-Katalog. EPSS etwa 0.016.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Die Sicherheitsupdates von Microsoft Office vom Oktober 2026 prioritär auf allen Outlook-Desktop-Installationen einspielen.
- Den installierten Build von Microsoft 365 Apps sowie Office LTSC 2021/2024 prüfen, insbesondere auf Geräten, die nicht über Microsoft Update verwaltet werden.
- Im MSRC-Advisory die genauen fixierten Builds und allfällige Massnahmen prüfen.
- Auf Berichte zur Ausnutzung achten und den NVD-Status vor dem Schliessen des Tickets erneut prüfen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-70242 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-70242 msrc.microsoft.com
- Vicarius: Microsoft October 2026 Patch Tuesday www.vicarius.io
- Automox: Patch Tuesday October 2026 www.automox.com
- CVEFeed: CVE-2026-70242 cvefeed.io
- Vulners: NVD:CVE-2026-70242 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:44.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.