Microsoft Office Click-to-Run: Erhöhung von Rechten über Use-after-Free

Zusammenfassung

Ein Use-after-Free-Fehler in der Komponente Microsoft Office Click-to-Run erlaubt einem lokal angemeldeten Angreifer mit niedrigen Rechten, seine Privilegien auf dem System zu erhöhen. Für die Ausnutzung sind lokaler Zugriff und ein gültiges Konto mit niedrigen Rechten oder ein anderer Zugriffspunkt nötig; eine Interaktion durch den Benutzer ist nicht erforderlich. Die Schwachstelle ist nicht aus dem Internet erreichbar, stellt aber auf Systemen mit mehreren Benutzern ein Risiko dar.

Betroffen

• Microsoft 365 Apps for Enterprise (16.0.1 bis zum in der Microsoft-Freigabeseite genannten Fix-Build)
• Microsoft Office LTSC 2021 (16.0.1 bis unter 16.0.14334.20974)
• Microsoft Office LTSC 2024 (16.0.0 bis unter 16.0.17932.21056)

Behoben in

• Microsoft Office LTSC 2021: 16.0.14334.20974 oder neuer
• Microsoft Office LTSC 2024: 16.0.17932.21056 oder neuer
• Microsoft 365 Apps for Enterprise: Unbekannt. Fix-Build auf https://aka.ms/OfficeSecurityReleases und der MSRC-Seite prüfen.

Umgehung

Unbekannt.

Ausnutzung

• Microsoft stufte die Schwachstelle bei der Veröffentlichung als nicht öffentlich bekannt und nicht ausgenutzt ein.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Zum Zeitpunkt der Recherche nicht im KEV-Katalog der CISA gelistet.
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Das Click-to-Run-Update auf allen Clients mit Microsoft 365 Apps und Office LTSC 2021/2024 installieren, zuerst auf gemeinsam genutzten PCs, Terminalservern und RDS-Hosts.
• Vor dem Rollout den Fix-Build für Microsoft 365 Apps auf der MSRC-Seite bestätigen.
• Lokale Konten auf Mehrbenutzersystemen einschränken und auf unerwartete Rechteänderungen achten.
• Den KEV-Katalog der CISA und öffentliche PoC-Quellen auf Änderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88109 msrc.microsoft.com
• Vulners CVELIST record CVE-2026-88109 vulners.com
• OpenCVE CVE-2026-88109 app.opencve.io
• OffSeq Radar: CVE-2026-88109 radar.offseq.com
• Strix AI: CVE-2026-88109 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:25.