Office Outlook: Remote Code Execution durch Stack-based Buffer Overflow

Zusammenfassung

Ein Stack-based Buffer Overflow in Microsoft Office Outlook erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Die Schwachstelle ist als kritisch eingestuft (CVSS 9.8). Gemäss den Recherchenotizen kann eine speziell präparierte E-Mail über die Vorschau ohne Öffnen oder Anklicken durch den Empfänger Code-Ausführung auslösen; eine Authentifizierung ist nicht erforderlich.

Betroffen

• Microsoft 365 Apps for Enterprise (genauer Bereich: siehe MSRC-Advisory)
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.20974
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21056
• Office 365 für Mac: vor 16.114.26101123
• Office LTSC für Mac 2021: 16.0.1 bis vor 16.114.26101123
• Office LTSC für Mac 2024: 16.0.0 bis vor 16.114.26101123

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt (siehe MSRC-Advisory)
• Office LTSC 2021: 16.0.14334.20974 oder neuer (gemäss Drittquelle, auf MSRC überprüfen)
• Office LTSC 2024: 16.0.17932.21056 oder neuer (gemäss Drittquelle, auf MSRC überprüfen)
• Office 365 für Mac und LTSC für Mac: Unbekannt
• Die Korrekturen wurden in den Updates des Patch Tuesday vom Oktober 2026 veröffentlicht.

Umgehung

• Kein Workaround des Herstellers gefunden. Unbekannt.
• Übergangsmassnahmen (eigene Empfehlungen, nicht aus einer Herstellerquelle): Lese- und Vorschaubereich in Outlook wo möglich deaktivieren; sicherstellen, dass das Mail-Gateway schädliche Anhänge und Inhalte filtert.

Ausnutzung

• Nicht bekanntermassen in freier Wildbahn ausgenutzt. Nicht im Katalog CISA KEV aufgeführt.
• CISA SSVC: Ausnutzung keine; automatisierbar: ja; technische Auswirkung: total.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein.
• Kein öffentlicher Proof-of-Concept-Exploit gefunden.

Unsere Empfehlung

• Outlook und Office in der ersten Welle patchen, einschliesslich Macs, und prüfen, ob Click-to-Run- bzw. Update-Kanäle die korrigierten Builds auf allen Endgeräten installiert haben.
• Im MSRC Security Update Guide die aktuellen Build-Nummern prüfen, insbesondere für Microsoft 365 Apps und Mac.
• Die verwandten Outlook-RCEs vom Oktober 2026 (CVE-2026-70242, CVE-2026-70291, CVE-2026-97016, CVE-2026-97749) gemeinsam patchen.
• Die oben genannten Übergangsmassnahmen bis zum Abschluss des Patchings anwenden und die MSRC-Seite auf Aktualisierungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88156 msrc.microsoft.com
• OpenCVE: CVE-2026-88156 app.opencve.io
• CrowdStrike: Patch Tuesday analysis October 2026 www.crowdstrike.com
• Rapid7: Patch Tuesday October 2026 www.rapid7.com
• VulDB: CVE-2026-88156 vuldb.com
• Strix: CVE-2026-88156 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:24.