CVE-2026-21509 – Microsoft Office: Aktiv ausgenutzte Umgehung des OLE-Schutzes
Eine Schwachstelle in Microsoft Office erlaubt es präparierten Dokumenten, die Schutzmechanismen für OLE- und COM-Steuerelemente zu umgehen. Sie wurde als Zero-Day aktiv ausgenutzt. Microsoft hat Ende Januar ein Notfall-Update veröffentlicht.
Update vom 22. Oktober 2026
Wir haben dieses Advisory korrigiert. Microsoft stuft CVE-2026-21509 als Umgehung einer Sicherheitsfunktion mit CVSS 7.8 ein (bisher hier: kritische Remotecodeausführung). Betroffen sind mehr Office-Versionen als zuerst angegeben, und der Fix kam als Notfall-Update ausserhalb des regulären Patch-Zyklus.
Was ist passiert?
CVE-2026-21509 ist eine Schwachstelle in Microsoft Office, bei der sich Office bei einer Sicherheitsentscheidung auf nicht vertrauenswürdige Eingaben verlässt. Ein präpariertes Dokument kann so die Schutzmechanismen umgehen, die gefährliche OLE- und COM-Steuerelemente blockieren sollen, und Angreifern damit den Weg zu Schadcode öffnen. Makros müssen dafür nicht aktiviert sein. Das Opfer muss die Datei aber öffnen, die Vorschau im Explorer genügt nicht.
Die Lücke wurde bereits als Zero-Day ausgenutzt. Microsoft hat am 26. Januar 2026 ein Notfall-Update veröffentlicht. Die US-Behörde CISA führt die Schwachstelle in ihrem Katalog aktiv ausgenutzter Lücken.
Wen betrifft es?
- Microsoft 365 Apps for Enterprise
- Microsoft Office LTSC 2021 und LTSC 2024
- Microsoft Office 2016 und Office 2019
- Besonders exponiert: Umgebungen, in denen Updates verzögert ausgerollt werden oder Office selten neu gestartet wird, sowie Abteilungen mit vielen Dokumenten von extern.
Was ist zu tun?
- Office 2021, LTSC 2024 und Microsoft 365 Apps: Der Schutz wird serverseitig aktiviert, sobald die Office-Anwendungen neu gestartet werden. Stelle sicher, dass Office auf allen Geräten tatsächlich neu gestartet wurde, und halte die Installationen aktuell (Datei → Konto → Updateoptionen → Jetzt aktualisieren).
- Office 2016 und 2019: Installiere die von Microsoft bereitgestellten Sicherheitsupdates. Wo das nicht sofort möglich ist, beschreibt Microsoft im Advisory zu CVE-2026-21509 eine Registry-Änderung, welche die betroffenen Steuerelemente blockiert.
- Zentral verwaltete Umgebungen: Prüfe in Intune bzw. deiner Softwareverteilung, ob die Updates auf allen Geräten angekommen sind.
- Geschützte Ansicht: Stelle sicher, dass die "Geschützte Ansicht" für Anhänge aus dem Internet in den Office-Optionen aktiv ist.
- Mitarbeitende sensibilisieren: Weise dein Team darauf hin, unerwartete Office-Anhänge nicht zu öffnen, auch nicht von bekannten Absendern.
Dieses Advisory dient der Information. Für eine Analyse deiner Update-Strategie kontaktiere uns.
Bereit, deine Angriffsfläche zu kennen?
Erzähl uns kurz von deinem Vorhaben. Wir melden uns mit einem konkreten Vorschlag.
Erstgespräch anfragen