Office Outlook: Remote Code Execution durch Heap-based Buffer Overflow

Zusammenfassung

Microsoft Office Outlook enthält einen Heap-based Buffer Overflow, der es einem nicht autorisierten Angreifer erlaubt, über das Netzwerk Code auszuführen. Der Angriff erfordert eine Interaktion durch einen Benutzer, etwa das Öffnen einer speziell präparierten Datei oder Nachricht, wie eine Drittquelle beschreibt. Outlook läuft mit den Rechten des angemeldeten Benutzers, daher erhält ein Angreifer bei einer erfolgreichen Ausnutzung Zugriff auf das Postfach und die zwischengespeicherten Zugangsdaten dieses Benutzers.

Betroffen

• Microsoft 365 Apps for Enterprise: Builds vor dem Outlook-Update vom Oktober 2026 (vom CNA mit 16.0.1 bis zur Microsoft-Release-Seite angegeben, nicht verifiziert)
• Microsoft Office LTSC 2024: Builds vor 16.0.17932.21056 (gemäss CNA-Eintrag, nicht gegen Microsoft verifiziert)
• Outlook 2016, Outlook 2019 und Outlook 2021: Es wurden keine Sicherheitsupdates bereitgestellt; ob diese von dieser CVE betroffen sind, geht aus den Quellen nicht hervor.

Behoben in

• Sicherheitsupdate für Outlook vom 13. Oktober 2026 für Microsoft 365 Apps und Office LTSC.
• Die genaue korrigierte Version pro Kanal ist in den Quellen nicht bestätigt; Prüfung über die MSRC-Seite und die Office-Versionshinweise.

Umgehung

Unbekannt. Es wurde keine Workaround- oder Mitigationsmassnahme speziell für diese CVE gefunden. Das Einspielen des Patches ist die Massnahme.

Ausnutzung

• Gemäss Microsoft nicht öffentlich bekannt gemacht.
• Nicht im Katalog CISA KEV aufgeführt.
• CISA-SSVC-Daten: Ausnutzung keine, automatisierbar nein.
• Kein öffentlicher Proof of Concept gefunden; dies ist kein Beweis, dass keiner existiert.
• EPSS-Wert: unbekannt.

Unsere Empfehlung

• Installierte Office-Version pro Kanal anhand der MSRC-Seite und der Office-Versionshinweise von Microsoft prüfen und das Outlook-Update vom Oktober 2026 installieren.
• Alle Installationen von Outlook 2016, 2019 und 2021 inventarisieren und eine Migration planen, da diese Versionen das Oktober-Update nicht erhalten haben.
• Attachment-Filterung am Gateway und Phishing-Schutz als zusätzliche Verteidigungsebene aktiv halten.
• Benutzer für unerwartete E-Mails und Anhänge sensibilisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-70256 msrc.microsoft.com
• Microsoft Office release notes: Microsoft 365 Apps security updates learn.microsoft.com
• OpenCVE: CVE-2026-70256 app.opencve.io
• Vulners: NVD CVE-2026-70256 vulners.com
• Robert365: Latest updates for classic Outlook (blog, not a Microsoft source) robert365.com
• DEV Community: Microsoft October 2026 updates (third-party, unverified) dev.to

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:48.