Microsoft Office Outlook: Remote Code Execution durch Double Free

Zusammenfassung

Eine Double-Free-Schwachstelle (CWE-415) in Microsoft Office Outlook erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auszuführen. Microsoft stuft die Schwachstelle als kritisch ein (CVSS 9.8) und beschreibt sie als netzwerkbasiert, ohne Berechtigungen und ohne Benutzerinteraktion. Laut dem im Research-Hinweis zitierten Advisory-Text könnte bereits die Anzeige einer präparierten Nachricht im Lesebereich die Schwachstelle auslösen, weshalb E-Mail der Hauptangriffsweg ist.

Betroffen

• Microsoft 365 Apps for Enterprise (32-Bit und 64-Bit), ab 16.0.1 bis zur Korrektur, die unter aka.ms/OfficeSecurityReleases referenziert ist
• Office LTSC 2021, ab 16.0.1 (korrigierter Build nur von einem Drittanbieter-Aggregator als 16.0.14334.20974 angegeben, nicht verifiziert)
• Office LTSC 2024, ab 16.0.0 (korrigierter Build nur von einem Drittanbieter-Aggregator als 16.0.17932.21056 angegeben, nicht verifiziert)

Behoben in

• Genauer korrigierter Build pro Kanal: Unbekannt. Massgebend ist die Tabelle Security Updates im MSRC-Advisory.
• Office LTSC 2021: Unbekannt. Die Quellen widersprechen sich, ob dieses Update noch erschienen ist oder der Support am 13. Oktober 2026 endete.
• Microsoft 365 Apps: Microsoft nennt aktuelle Builds des Oktober-2026-Sicherheitsupdates, CVE-2026-97749 konnte in der abgerufenen Liste jedoch nicht bestätigt werden.

Umgehung

• Kein Workaround des Herstellers gefunden: Unbekannt.
• Die Reduktion der Exposition im Lesebereich ist ein sinnvoller Zwischenschritt, es handelt sich jedoch um eine allgemeine Empfehlung und nicht um eine dokumentierte Massnahme für diese CVE.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine bekannt.
• Microsoft-Bewertung E:U (Unproven); Ausnutzbarkeit laut Microsoft: 'Exploitation Less Likely'.
• CISA SSVC: Ausnutzung none, automatisierbar yes.
• Nicht im CISA-KEV-Katalog gelistet.
• Bei der Recherche wurde kein öffentlicher Proof-of-Concept gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Microsoft 365 Apps und Office-LTSC-Clients umgehend patchen, mit Priorität auf mailexponierte Systeme.
• Die installierte Outlook-Version auf jedem Endgerät mit der Tabelle im MSRC-Advisory abgleichen.
• Den Supportstatus von LTSC 2021 bei Microsoft prüfen, bevor über die Behebung dieser Clients entschieden wird.
• Bis alle Clients bestätigt gepatcht sind, auf Ausnutzungsindikatoren und verdächtige eingehende E-Mails achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-97749 msrc.microsoft.com
• MSRC advisory CVE-2026-97749 msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Robert 365: Latest updates for classic Outlook robert365.com
• Rapid7: Patch Tuesday October 2026 www.rapid7.com
• Talos: Microsoft Patch Tuesday October 2026 blog.talosintelligence.com
• OpenCVE: CVE-2026-97749 app.opencve.io
• Vulners: CVE-2026-97749 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:13.