Office Outlook: Remote Code Execution durch Heap-based Buffer Overflow

Zusammenfassung

Ein Heap-based Buffer Overflow in Microsoft Office Outlook erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen; der CVSS-3.1-Basiswert liegt bei 9.8 (kritisch). Gemäss der Advisory von Microsoft und den Recherchenotizen kann eine präparierte E-Mail, die über die Vorschau verarbeitet wird, ohne Klick für den Angriff ausreichen. Der NVD-Eintrag stand in den geprüften Quellen noch auf Awaiting Analysis, weshalb die offizielle Bewertung zu verifizieren ist.

Betroffen

• Microsoft 365 Apps for Enterprise (32-Bit und x64), Click-to-Run-Builds ab 16.0.1 bis zum Sicherheitsupdate vom Oktober 2026. Exakter korrigierter Build: Unbekannt.
• Microsoft Office LTSC 2021 (32-Bit und x64): unter 16.0.14334.20974 gemäss einem Drittanbieter-Aggregator, nicht gegen Microsoft verifiziert.
• Microsoft Office LTSC 2024 (32-Bit und x64): unter 16.0.17932.21056 gemäss einem Drittanbieter-Aggregator, nicht gegen Microsoft verifiziert.

Behoben in

• Sicherheitsupdate von Microsoft vom Oktober 2026 für Microsoft 365 Apps und Office LTSC 2021/2024.
• Exakte korrigierte Build-Nummern pro Produkt: Unbekannt. Die MSRC-Advisory und die Release Notes von Microsoft prüfen.

Umgehung

• In den geprüften Quellen wurde kein Outlook-spezifischer Workaround gefunden.
• Übergangsmassnahme (Empfehlung, nicht aus einer Quelle): Vorschaubereich von Outlook für Postfächer mit erhöhtem Risiko einschränken oder deaktivieren, bis der Patch installiert ist.
• Eingehende E-Mails auf verdächtige Anhänge und Links filtern.

Ausnutzung

• Für diese CVE wurde kein Hinweis auf eine Ausnutzung in freier Wildbahn gefunden.
• CISA-SSVC-Daten: Exploitation none, automatable yes. Rapid7 stuft die Ausnutzung als Exploitation Less Likely ein und meldet, dass die CVE nicht im CISA KEV steht.
• Öffentlicher Proof of Concept: keiner gefunden.
• Talos meldet, dass eine Schwachstelle im Oktober-2026-Release ausgenutzt wurde, nennt sie im geprüften Text aber nicht. Die MSRC-Release-Notes prüfen.

Unsere Empfehlung

• Das Sicherheitsupdate vom Oktober 2026 auf allen Microsoft-365-Apps- und Office-LTSC-2021/2024-Clients mit Outlook installieren und die installierten Build-Nummern mit der MSRC-Advisory abgleichen.
• Bis zur Installation den Vorschaubereich von Outlook für Postfächer mit erhöhtem Risiko einschränken oder deaktivieren und eingehende E-Mails filtern.
• Auf Anzeichen einer Ausnutzung achten und den Status dieser CVE laufend verfolgen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-97016 msrc.microsoft.com
• Microsoft Security Update Guide: advisory (en-US) msrc.microsoft.com
• OpenCVE: CVE-2026-97016 app.opencve.io
• Rapid7: Patch Tuesday October 2026 www.rapid7.com
• Talos: Microsoft Patch Tuesday October 2026 blog.talosintelligence.com
• Tenable Nessus plugin: Outlook C2R October 2026 vulners.com
• HivePro: Microsoft October 2026 Patch Tuesday priority fixes www.hivepro.com
• Qualys: Patch Tuesday October 2026 review blog.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:13.