Microsoft Office Outlook: Double-Free-Schwachstelle ermöglicht nicht autorisierte Remotecodeausführung (CVE-2026-97749)

Was passiert ist

Microsoft Office Outlook weist eine Double-Free-Schwachstelle (CWE-415) auf. Ein nicht autorisierter Angreifer, der eine betroffene Outlook-Installation über das Netzwerk erreichen kann, könnte diese ausnutzen, um Code auszuführen. Der CVSS-v3.1-Vektor beschreibt einen Angriff über das Netzwerk, geringe Komplexität, keine erforderlichen Berechtigungen und keine Benutzerinteraktion; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. Microsoft stuft die Schwachstelle mit 9,8 als kritisch ein. Für diese CVE sind keine aktive Ausnutzung und keine öffentliche Offenlegung erfasst; in der CISA KEV ist sie nicht aufgeführt. Der Microsoft-Sicherheitshinweis nennt keine Problemumgehung. Die SSVC-Bewertung stellt fest, dass die Schwachstelle automatisierbar ist und die technischen Auswirkungen vollständig sind. Das Einspielen des Sicherheitspatches hat daher auch ohne bekannte aktive Angriffe Priorität.

Wer betroffen ist

Microsoft führt drei betroffene Produkte auf. Microsoft 365 Apps for Enterprise ist ab Version 16.0.1 bis vor dem über den Kanal Office Security Releases veröffentlichten korrigierten Build betroffen. Microsoft Office LTSC 2021 ist ab Version 16.0.1 bis vor Build 16.0.14334.20974 betroffen. Microsoft Office LTSC 2024 ist ab Version 16.0.0 bis vor Build 16.0.17932.21056 betroffen. Dabei handelt es sich um Outlook-Desktopinstallationen in vielen Unternehmen. Wenn Sie Outlook als Bestandteil von Microsoft 365 Apps oder einer LTSC-Office-Suite einsetzen, prüfen Sie auf Systemen, die aus nicht vertrauenswürdigen Netzwerken erreichbar sind, den Kanal oder Build. Microsoft hat in diesem Sicherheitshinweis keine weiteren Office-Produkte aufgeführt.

Was jetzt zu tun ist

Microsoft hat Sicherheitsupdates für alle drei betroffenen Produkte veröffentlicht. Spielen Sie das Update für das von Ihnen eingesetzte Produkt ein:

1. Microsoft 365 Apps for Enterprise: Aktualisieren Sie auf die korrigierte Kanalversion, die Microsoft unter https://aka.ms/OfficeSecurityReleases angibt.
2. Microsoft Office LTSC 2021: Installieren Sie den Build 16.0.14334.20974.
3. Microsoft Office LTSC 2024: Installieren Sie den Build 16.0.17932.21056.

Da der CVSS-Vektor auf Erreichbarkeit über das Netzwerk und keine Benutzerinteraktion hinweist, priorisieren Sie Systeme, die aus nicht vertrauenswürdigen Netzwerken erreichbar sind. Der Microsoft-Sicherheitshinweis enthält keine Problemumgehung; das Einspielen der Sicherheitsupdates ist daher die einzige vom Hersteller bereitgestellte Abhilfe.

Über den Patch hinaus

Hier handelt es sich um eine über das Netzwerk erreichbare Schwachstelle zur Remotecodeausführung ohne Benutzerinteraktion in einem weit verbreiteten E-Mail-Client. Die unmittelbare Aufgabe ist das Einspielen des Sicherheitspatches; langfristig geht es darum zu wissen, welche Systeme derart exponierte Software ausführen und wie schnell Ihre IT-Umgebung das Microsoft-Update einspielen kann. Mit dem Angebot Virtual CISO Services (vCISO) unterstützen wir Sie beim Aufbau genau dieser Routine zur Überwachung exponierter Systeme. Mit Supply Chain Defense & Third-Party Risk verfolgen wir die Patchzyklen Ihrer Lieferanten, damit eine kritische Korrektur wie diese nicht von manueller Erkennung abhängt.