Microsoft Office Outlook: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Office Outlook erlaubt es einem nicht authentifizierten Angreifer, über das Netzwerk Code aus der Ferne auszuführen; der CVSS-3.1-Basiswert beträgt 9.8 (kritisch). Laut Microsoft-Bewertung ist die Exploit-Reife als unbewiesen eingestuft, und die Schwachstelle ist weder öffentlich bekannt noch ist eine Ausnutzung bekannt. Recherchen deuten darauf hin, dass eine manipulierte E-Mail bereits im Lesebereich ohne Benutzerinteraktion ausgelöst werden kann, wobei Microsoft diesen Vektor nicht bestätigt hat, weshalb die Angriffsbedingungen teilweise unverifiziert sind.

Betroffen

• Microsoft 365 Apps for Enterprise (32- und 64-Bit)
• Office 365 für Mac
• Office LTSC 2021 (32- und 64-Bit)
• Office LTSC 2024 (32- und 64-Bit)
• Office LTSC für Mac 2021 und 2024
• Genaue betroffene Versionsbereiche: siehe MSRC-Advisory

Behoben in

• Sicherheitsupdates veröffentlicht am 13. Oktober 2026 für Microsoft 365 Apps, Office LTSC 2021 und 2024 sowie Office 365 für Mac; Build-Nummern siehe MSRC-Advisory
• Office LTSC für Mac 2021 und 2024: Update noch nicht verfügbar; Microsoft wird es so schnell wie möglich veröffentlichen
• Genaue Build-Nummern der Korrektur: Unbekannt.

Umgehung

• Kein Workaround des Herstellers bekannt.
• Zusätzliche Härtung (vom Hersteller für dieses CVE nicht bestätigt): Vorschau im Lesebereich für unbekannte E-Mails wo praktikabel deaktivieren und Mail-Filterung wie Microsoft Defender for Office 365 aktiv halten.

Ausnutzung

• Öffentlich bekannt: Nein.
• In freier Wildbahn ausgenutzt: Nein.
• Exploit-Code-Reife laut Microsoft: unbewiesen.
• CISA KEV: nicht gelistet. CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• EPSS: etwa 1,3 Prozent.
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Die Sicherheitsupdates für Office vom Oktober 2026 jetzt auf allen Outlook-Clients installieren, einschliesslich Microsoft 365 Apps und Office LTSC.
• LTSC-Systeme auf Mac prüfen und die Folgeveröffentlichung von Microsoft für LTSC für Mac 2021 und 2024 verfolgen.
• Den Update-Status mit Microsoft Update oder einem Schwachstellenscanner wie Nessus auf allen Outlook-Clients kontrollieren.
• Bis zur Korrektur die Vorschau im Lesebereich für unbekannte E-Mails in Erwägung ziehen zu deaktivieren.
• Auf Proof-of-Concept-Exploits achten, da sich der Status rasch ändern kann.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC advisory msrc.microsoft.com
• MSRC advisory (English) msrc.microsoft.com
• CrowdStrike Patch Tuesday analysis October 2026 www.crowdstrike.com
• Hivepro Microsoft October 2026 Patch Tuesday www.hivepro.com
• Tenable Nessus check for Outlook C2R October 2026 vulners.com
• Vulners/NVD vulners.com
• OpenCVE app.opencve.io
• Robert 365 latest updates for classic Outlook robert365.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:42.