Microsoft Office Outlook: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Outlook, Bestandteil von Microsoft 365 Apps und Office LTSC 2021/2024, ermöglicht einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Eine Benutzerinteraktion ist erforderlich, etwa das Öffnen einer manipulierten Nachricht oder Datei. Microsoft stuft die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein. Eine Ausnutzung ist nicht bekannt, und CISA SSVC bewertet die Ausnutzung als none.

Betroffen

• Microsoft 365 Apps for Enterprise (16.0.1 bis zum behobenen Build, siehe Microsoft-Advisory)
• Microsoft Office LTSC 2021 (16.0.1 bis vor 16.0.14334.20974, gemäss CVE-Eintrag)
• Microsoft Office LTSC 2024 (16.0.0 bis vor 16.0.17932.21056, gemäss CVE-Eintrag)
• Nicht mehr unterstützte Outlook-Versionen (2016, 2019, 2021 nach Support-Ende) erhalten keinen Fix

Behoben in

• Sicherheitsupdate von Microsoft am 13. Oktober 2026 für jede betroffene Edition veröffentlicht
• Genaue behobene Build-Nummern je Kanal: Unbekannt. Vor dem Rollout im MSRC-Advisory prüfen.

Umgehung

• Unbekannt. Kein von Microsoft dokumentierter Workaround gefunden. Sicherheitsupdate einspielen.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.

Unsere Empfehlung

• Sicherheitsupdates vom Oktober 2026 für Microsoft 365 Apps und Office LTSC 2021/2024 auf allen Outlook-Clients einspielen.
• Behobene Build-Nummern auf der MSRC-Seite bestätigen und Mindestbuilds je Kanal festlegen.
• Outlook-Clients 2016, 2019 oder 2021 identifizieren und deren Upgrade planen.
• CISA KEV und das Microsoft-Advisory auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70282 msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• OpenCVE: CVE-2026-70282 app.opencve.io
• Qualys Patch Tuesday October 2026 review blog.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:45.