CVE-2026-21509
Microsoft Office Security Feature Bypass Vulnerability
Beschreibung
CVE-2026-21509 ist eine Sicherheitsfeature-Bypass-Schwachstelle in Microsoft Office, die auf der Verwendung nicht vertrauenswuerdiger Eingaben in Sicherheitsentscheidungen basiert. Ein nicht autorisierter Angreifer kann eine Sicherheitsfunktion lokal umgehen, indem er den Benutzer dazu verleitet, eine speziell praeparierte Datei zu oeffnen. Mit einem CVSS-Score von 7.8 (HIGH) und einem EPSS-Score von 9,21 % (92,6. Perzentil) stellt diese Schwachstelle ein erhebliches Risiko dar. Die CISA hat CVE-2026-21509 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 16. Februar 2026. Betroffen sind Microsoft 365 Apps, Office 2016, Office 2019 sowie Office LTSC 2021 und 2024.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | 365 apps | - |
| microsoft | office | 2016; 2019 |
| microsoft | office long term servicing channel | 2021; 2024 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21509(Vendor Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2026-21509-detection-script-microsoft-office-security-feature-bypass-vulnerability(Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2026-21509-mitigation-script-microsoft-office-security-feature-bypass-vulnerability(Mitigation, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-21509(US Government Resource)
Schwachstellentyp
CWE-807: Reliance on Untrusted Inputs in a Security Decision
CWE-807 (Reliance on Untrusted Inputs in a Security Decision) beschreibt eine Schwachstellenklasse, bei der eine Anwendung Sicherheitsentscheidungen auf Basis von Eingaben trifft, die von einem Angreifer manipuliert werden koennen. Im Fall von CVE-2026-21509 verlassen sich die Sicherheitsmechanismen von Microsoft Office auf bestimmte Dateiattribute oder Metadaten, die ein Angreifer faelschen kann. Dadurch werden Schutzfunktionen wie Protected View, Makro-Blockierung oder Mark-of-the-Web-Pruefungen umgangen, was die Ausfuehrung schaedlicher Inhalte ermoeglicht. Mehr erfahren
Auswirkungsanalyse
Umgehung von Office-Sicherheitsmechanismen: Die Kernauswirkung ist die Umgehung von Sicherheitsfunktionen, die Benutzer vor schaedlichen Dokumenten schuetzen sollen, wie Protected View, Makro-Blockierung oder Mark-of-the-Web (MotW). Vertraulichkeit (C:H) - Nach erfolgreicher Umgehung der Sicherheitsfeatures kann ein Angreifer auf alle Daten zugreifen, die dem Benutzer zugaenglich sind. Integritaet (I:H) - Schaedlicher Code kann ohne Warnung ausgefuehrt werden, was die Installation von Malware, Backdoors oder Keyloggern ermoeglicht. Verfuegbarkeit (A:H) - Der Angreifer erhaelt die gleichen Rechte wie der angemeldete Benutzer und kann das System potenziell vollstaendig kontrollieren.
Benutzerinteraktion erforderlich: Der Angriff erfordert eine Benutzerinteraktion (UI:R) in Form des Oeffnens einer praeparierten Datei. Typische Angriffsvektoren sind Phishing-E-Mails mit schaedlichen Office-Dokumenten, kompromittierte Webseiten, die zum Download auffordern, oder manipulierte Dateien in Filesharing-Diensten. Der lokale Angriffsvektor (AV:L) bedeutet, dass die Datei lokal auf dem System verfuegbar sein muss.
EPSS und Ransomware: Der EPSS-Score von 9,21 % (92,6. Perzentil) zeigt eine signifikante Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist Unknown. Security-Feature-Bypasses in Office werden jedoch haeufig als erster Schritt in Ransomware-Angriffsketten eingesetzt, um Malware ohne Benutzerwarnungen auszufuehren.
Exploit-Reifegrad
CVE-2026-21509 ist im CISA KEV-Katalog gelistet, was eine aktive Ausnutzung in freier Wildbahn bestaetigt. Microsoft hat die Schwachstelle im Rahmen eines Security Updates adressiert, Details sind unter MSRC verfuegbar.
EPSS-Kontext: Der EPSS-Score von 9,21 % (92,6. Perzentil) zeigt, dass CVE-2026-21509 zu den oberen 8 % der am wahrscheinlichsten ausgenutzten Schwachstellen gehoert. Office-Schwachstellen sind generell beliebte Angriffsvektoren, da sie in praktisch jeder Unternehmensumgebung ausgenutzt werden koennen.
Verbreitung der Bedrohung: Microsoft Office ist eine der am weitesten verbreiteten Bueroanwendungen weltweit. Die Umgehung von Sicherheitsfeatures ist besonders attraktiv fuer Angreifer, da sie den Weg fuer nachfolgende Payloads ebnet, ohne dass der Benutzer eine Warnung erhaelt.
Ransomware-Verbindung: Der Ransomware-Status ist Unknown. Historisch gesehen werden Office-Sicherheitsfeature-Bypasses haeufig in den initialen Phasen von Ransomware-Angriffen eingesetzt, um schaedliche Makros oder eingebettete Payloads ohne Warnungen auszufuehren.
Behebung
- Microsoft Office Security Update installieren: Installieren Sie das neueste kumulative Sicherheitsupdate fuer Microsoft Office ueber Windows Update oder den Microsoft Update Catalog. Konsultieren Sie das MSRC Advisory fuer versionsspezifische Update-Informationen.
- Alle Office-Versionen pruefen: Stellen Sie sicher, dass alle Office-Installationen in Ihrer Organisation aktualisiert werden, einschliesslich Microsoft 365 Apps, Office 2016, Office 2019, Office LTSC 2021 und Office LTSC 2024. Nutzen Sie WSUS oder Intune fuer die zentrale Verteilung.
- Attack Surface Reduction (ASR) Regeln aktivieren: Aktivieren Sie ASR-Regeln in Microsoft Defender for Endpoint, um die Ausfuehrung von schaedlichem Code in Office-Dokumenten einzuschraenken. Insbesondere die Regeln zur Blockierung von Makro-Ausfuehrung und kindprozessen von Office-Anwendungen bieten zusaetzlichen Schutz.
- Benutzer-Awareness staerken: Schulen Sie Benutzer im Erkennen von Phishing-E-Mails und verdaechtigen Dokumenten. Weisen Sie darauf hin, dass Dokumente aus unbekannten Quellen nicht geoeffnet werden sollten und dass Sicherheitswarnungen in Office nicht ignoriert werden duerfen.
- E-Mail-Filterung verschaerfen: Konfigurieren Sie E-Mail-Sicherheitsgateways so, dass verdaechtige Office-Dokumente in Anhaengen blockiert oder in einer Sandbox analysiert werden, bevor sie den Benutzer erreichen.
Technische Details
Die Schwachstelle basiert auf CWE-807 (Reliance on Untrusted Inputs in a Security Decision). Microsoft Office verlasst sich bei bestimmten Sicherheitsentscheidungen auf Eingaben oder Metadaten, die ein Angreifer manipulieren kann. Dies kann beispielsweise die Mark-of-the-Web (MotW)-Markierung, Dateieigenschaften oder andere Attribute betreffen, die normalerweise bestimmen, ob ein Dokument in Protected View geoeffnet wird oder ob Makros blockiert werden.
CVSS-Vektor im Detail: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - Der Angriff erfolgt lokal (AV:L), was bedeutet, dass die schaedliche Datei auf dem System des Opfers geoeffnet werden muss. Die Komplexitaet ist niedrig (AC:L) und es sind keine Privilegien (PR:N) erforderlich, jedoch eine Benutzerinteraktion (UI:R) in Form des Oeffnens der Datei. Der Scope ist unveraendert (S:U), aber alle drei Schutzziele sind maximal betroffen (C:H/I:H/A:H).
Angriffsmechanismus: Der Angreifer erstellt ein speziell praepariertes Office-Dokument, das bestimmte Attribute oder Metadaten so manipuliert, dass die Sicherheitsmechanismen von Office die Datei faelschlicherweise als vertrauenswuerdig einstufen. Dadurch werden Schutzfunktionen wie Protected View deaktiviert und eingebetteter schaedlicher Code (Makros, OLE-Objekte, eingebettete Skripte) kann ohne Warnung ausgefuehrt werden.
Betroffene Versionen: Microsoft 365 Apps (alle Editionen), Office 2016, Office 2019, Office LTSC 2021 und Office LTSC 2024. Sowohl 32-Bit- als auch 64-Bit-Installationen sind betroffen.
Häufig gestellte Fragen
Welche Office-Versionen sind von CVE-2026-21509 betroffen?
Betroffen sind Microsoft 365 Apps, Office 2016, Office 2019, Office LTSC 2021 und Office LTSC 2024. Dies umfasst praktisch alle aktuell unterstuetzten und weit verbreiteten Office-Versionen. Pruefen Sie in Office unter Datei > Konto, ob die neuesten Updates installiert sind.
Kann die Schwachstelle ohne Benutzerinteraktion ausgenutzt werden?
Nein, CVE-2026-21509 erfordert eine Benutzerinteraktion (UI:R). Der Benutzer muss eine speziell praeparierte Datei oeffnen. Dies geschieht typischerweise ueber Phishing-E-Mails mit schaedlichen Anhaengen oder durch den Download von manipulierten Dokumenten aus dem Internet.
Was genau wird umgangen?
Die genauen Details der umgangenen Sicherheitsfunktion hat Microsoft nicht vollstaendig offengelegt. Typische Ziele solcher Bypasses sind Protected View (die geschuetzte Ansicht fuer Dokumente aus unsicheren Quellen), die Makro-Blockierung fuer Dateien aus dem Internet oder die Mark-of-the-Web (MotW)-Pruefungen.
Schuetzt ein aktueller Virenscanner vor diesem Angriff?
Ein Virenscanner kann bekannte Exploit-Payloads erkennen, bietet aber keinen zuverlaessigen Schutz gegen die Schwachstelle selbst. Da der Security-Feature-Bypass dazu dient, Sicherheitsmechanismen zu umgehen, koennen auch Virenscanner umgangen werden. Das Einspielen des Sicherheitsupdates ist die einzige zuverlaessige Loesung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.