Microsoft Office Click-to-Run: Lokale Rechteerweiterung durch Use-after-Free

Zusammenfassung

Ein Use-after-Free-Fehler in Microsoft Office Click-to-Run erlaubt einem Angreifer mit lokalem Zugriff und einem Konto mit niedrigen Rechten, seine Privilegien auf dem betroffenen Gerät zu erweitern. Der CVSS-Vektor (AV:L/AC:L/PR:L/UI:N) zeigt keinen Fernzugriff und keine unauthentifizierte Angriffsmöglichkeit. Das Hauptrisiko liegt in der Nutzung als zweite Stufe, nachdem Schadsoftware oder ein phishingbetroffener Benutzer Code mit den Rechten dieses Benutzers ausführen kann. NVD bewertet die Schwachstelle mit 7.8 (Hoch), während VulDB und EUVD tiefere Werte angeben.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum Update vom 13. Oktober 2026 (obere Grenze unbestätigt)
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.20974 (Sekundärquelle, unbestätigt)
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21056 (Sekundärquelle, unbestätigt)
• Office 2019: Unbekannt, widersprüchliche Buildnummern in den Microsoft-Quellen

Behoben in

• Office LTSC 2021: 16.0.14334.20974 (noch nicht durch das MSRC-Advisory bestätigt)
• Office LTSC 2024: 16.0.17932.21056 (noch nicht durch das MSRC-Advisory bestätigt)
• Microsoft 365 Apps und Office 2019: Unbekannt, auf der MSRC-Seite prüfen

Umgehung

Unbekannt. Es ist kein Workaround bestätigt; die Abhilfe des Herstellers ist das Sicherheitsupdate.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Laut Strix nicht im CISA KEV aufgeführt
• Kein öffentlicher Proof of Concept gefunden

Unsere Empfehlung

• Die am 13. Oktober 2026 veröffentlichten Office-Sicherheitsupdates auf allen Microsoft 365 Apps und Office-Installationen mit Einzellizenz einspielen
• Den exakten Fix-Build auf der MSRC-Seite prüfen, bevor das Ticket geschlossen wird
• Office-2019- und Office-2021-Builds getrennt prüfen, da die Quellen widersprüchlich sind und Office 2021 nicht mehr unterstützt wird
• MSRC-Seite und CISA KEV überwachen; bei gemeldeter Ausnutzung die Priorität erhöhen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85340 msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Microsoft Office 2019 update history learn.microsoft.com
• OpenCVE: CVE-2026-85340 app.opencve.io
• Strix: CVE-2026-85340 www.strix.ai
• Qualys October 2026 Patch Tuesday review blog.qualys.com
• VulDB: CVE-2026-85340 vuldb.com
• Office Watch: October 2026 Office critical fixes office-watch.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:26.