Microsoft Office OneNote: Remote Code Execution durch Command Injection
Zusammenfassung
Eine Command Injection (CWE-77) in Microsoft Office OneNote, Bestandteil von Microsoft 365 Apps for Enterprise, erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auszuführen. Voraussetzung ist, dass ein Benutzer einen speziell präparierten OneNote-Link öffnet, den der Angreifer ihm zukommen lässt. Der CVSS-Basiswert beträgt 8.8 (hoch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Betroffen
- Microsoft 365 Apps for Enterprise, Version 16.0.1 und neuer (gemäss CNA-Eintrag; der genaue betroffene Bereich wird in diesem Eintrag über einen Link angegeben)
- Office LTSC 2021: unklar, nicht in den CNA-Daten aufgeführt; vor einer Annahme der Betroffenheit prüfen
Behoben in
- Unbekannt. Die korrigierte Build-Nummer wurde in den geprüften Quellen nicht bestätigt. Die Links zum Security Update und zum KB-Artikel sind im MSRC-Advisory zu prüfen.
Umgehung
- Der Hersteller dokumentiert in den geprüften Quellen keinen Workaround.
- Bis zur Installation des Updates ist Vorsicht bei unerwarteten OneNote-Links aus E-Mails oder Chats geboten (eigene Empfehlung, keine Herstellerangabe).
Ausnutzung
- Der temporale Vektor von Microsoft markiert die Ausnutzung als nicht nachgewiesen (E:U).
- In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Microsoft 365 Apps for Enterprise zeitnah patchen, sobald die korrigierte Build-Version auf der MSRC-Seite bestätigt ist.
- Benutzer priorisieren, die regelmässig externe Links und Dokumente bearbeiten.
- Installationen von Office LTSC 2021 prüfen und deren Ersatz oder Überprüfung planen, da unter Umständen kein Fix bereitgestellt wird.
- Benutzer sensibilisieren, unerwartete OneNote-Links mit Vorsicht zu behandeln.
- Status und Veröffentlichungsdatum des NVD-Eintrags gegen NVD und MSRC prüfen, da sekundäre Aggregatoren abweichende Daten zeigten.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-97781 msrc.microsoft.com
- Microsoft Learn: Office security updates learn.microsoft.com
- Qualys: Microsoft Patch Tuesday October 2026 review blog.qualys.com
- Office Watch: October 2026 Patch Tuesday Office critical fixes office-watch.com
- Vulners: CVE-2026-97781 vulners.com
- threatint: CVE-2026-97781 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.