CVE-2026-21514
Microsoft Office Word Reliance on Untrusted Inputs in a Security Decision Vulnerability
Beschreibung
CVE-2026-21514 ist eine schwerwiegende Schwachstelle in Microsoft Office Word, die auf einer fehlerhaften Verarbeitung nicht vertrauenswuerdiger Eingaben bei Sicherheitsentscheidungen basiert. Ein nicht authentifizierter Angreifer kann dadurch eine Sicherheitsfunktion lokal umgehen. Die Schwachstelle erhaelt einen CVSS v3.1-Score von 7.8 (HIGH) und betrifft Microsoft 365 Apps sowie Office LTSC 2021 und 2024.
Die CISA hat CVE-2026-21514 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Maerz 2026. Der Ransomware-Status wird als Unknown gefuehrt. Der EPSS-Score betraegt 2.15 % (84.0. Perzentil), was eine deutlich ueberdurchschnittliche Ausnutzungswahrscheinlichkeit signalisiert. Da die Schwachstelle Benutzerinteraktion erfordert (typischerweise das Oeffnen eines praeparierten Dokuments), wird sie haeufig in gezielten Phishing-Angriffen eingesetzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | 365 apps | - |
| microsoft | office long term servicing channel | 2021; 2024 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21514(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-21514(US Government Resource)
Schwachstellentyp
CWE-807: Reliance on Untrusted Inputs in a Security Decision
CVE-2026-21514 basiert auf CWE-807 (Reliance on Untrusted Inputs in a Security Decision), einer Schwachstellenklasse, bei der Software nicht vertrauenswuerdige Eingaben verwendet, um sicherheitsrelevante Entscheidungen zu treffen. In diesem Fall nutzt Microsoft Word Daten aus dem Dokument selbst, um zu bestimmen, ob bestimmte Sicherheitsmechanismen angewendet werden sollen.
Ein Angreifer kann diese Eingaben manipulieren, um Sicherheitsfunktionen wie die Protected View, die Macro-Blockierung oder andere Schutzmechanismen zu umgehen. Dies ist besonders kritisch, da Word-Dokumente haeufig als Einfallstor fuer Malware-Kampagnen dienen und die Sicherheitsentscheidungen von Word die letzte Verteidigungslinie vor der Codeausfuehrung darstellen. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2026-21514 ergeben sich primaer aus der Umgehung von Sicherheitsfunktionen in Microsoft Word. Vertraulichkeit: Durch die Umgehung der Sicherheitsmechanismen kann ein Angreifer Code im Kontext des Word-Prozesses ausfuehren und auf alle Dateien und Ressourcen zugreifen, die dem aktuellen Benutzer zugaenglich sind. Dies umfasst Dokumente, E-Mails, gespeicherte Zugangsdaten und Netzwerkressourcen (C:H).
Integritaet: Nach der Umgehung der Sicherheitsfunktionen kann der Angreifer beliebige Dateien auf dem System erstellen, aendern oder loeschen. Die Installation von Malware, Backdoors oder die Manipulation geschaeftskritischer Dokumente wird moeglich (I:H). Verfuegbarkeit: Der Angreifer kann Daten verschluesseln, Systemressourcen erschoepfen oder den Arbeitsplatz des Opfers kompromittieren (A:H). Der EPSS-Score von 2.15 % (84.0. Perzentil) und die KEV-Listung bestaetigen die aktive Ausnutzung. Die Kombination mit der weiten Verbreitung von Microsoft Office in Unternehmen macht diese Schwachstelle zu einem bevorzugten Werkzeug fuer gezielte Angriffe.
Exploit-Reifegrad
CVE-2026-21514 wurde von der CISA in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Maerz 2026. Der Ransomware-Status wird als Unknown gefuehrt. Der EPSS-Score von 2.15 % (84.0. Perzentil) zeigt eine signifikante Ausnutzungswahrscheinlichkeit.
Microsoft hat im Security Response Center (MSRC) ein Advisory und Sicherheitsupdates veroeffentlicht. Die CISA KEV-Listung bestaetigt die aktive Ausnutzung. Security-Feature-Bypass-Schwachstellen in Office-Produkten sind bei Angreifern besonders beliebt, da sie Sicherheitsmechanismen wie Protected View oder Mark-of-the-Web umgehen koennen. Dies ermoeglicht die Ausfuehrung von Makros oder eingebettetem Code, ohne dass der Benutzer eine Sicherheitswarnung erhaelt.
Behebung
-
Microsoft-Office-Sicherheitsupdates sofort installieren: Wenden Sie die Sicherheitsupdates fuer Microsoft 365 Apps und Office LTSC 2021/2024 umgehend an. Konsultieren Sie das MSRC Advisory fuer spezifische Update-Informationen und Installationsanweisungen.
-
Attack Surface Reduction (ASR) Rules aktivieren: Konfigurieren Sie ASR-Regeln in Microsoft Defender, insbesondere die Regel zur Blockierung von Office-Anwendungen beim Erstellen von Child-Prozessen und die Regel zur Blockierung ausfuehrbarer Inhalte aus Office-Dokumenten.
-
E-Mail-Sicherheit verstaerken: Implementieren Sie erweiterte E-Mail-Filterung, die verdaechtige Word-Dokumente in Quarantaene stellt oder in einer Sandbox analysiert. Da die Schwachstelle Benutzerinteraktion (UI:R) erfordert, ist die Zustellung praeparierter Dokumente der primaere Angriffsvektor.
-
Mitarbeiter-Awareness erhoehen: Schulen Sie Mitarbeiter bezueglich der Risiken beim Oeffnen unbekannter Office-Dokumente. Weisen Sie darauf hin, dass diese Schwachstelle aktiv ausgenutzt wird und selbst vermeintlich harmlose Dokumente gefaehrlich sein koennen.
-
Protected View und Makro-Richtlinien ueberpruefen: Stellen Sie sicher, dass Protected View und die Makro-Blockierung fuer aus dem Internet heruntergeladene Dokumente aktiviert sind. Obwohl die Schwachstelle diese Mechanismen umgehen kann, bieten zusaetzliche Sicherheitsebenen weiterhin Schutz gegen andere Angriffsvektoren.
Technische Details
CVE-2026-21514 betrifft Microsoft Office Word in Microsoft 365 Apps sowie Office LTSC 2021 und 2024. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H beschreibt einen lokalen Angriffsvektor (AV:L) mit geringer Komplexitaet (AC:L), der keine Privilegien erfordert (PR:N), aber Benutzerinteraktion benoetigt (UI:R) -- typischerweise das Oeffnen eines praeparierten Dokuments.
Die zugrunde liegende Schwachstelle CWE-807 (Reliance on Untrusted Inputs in a Security Decision) manifestiert sich in der Art, wie Word sicherheitsrelevante Metadaten innerhalb eines Dokuments verarbeitet. Word verwendet bestimmte Dokumenteigenschaften, um Sicherheitsentscheidungen zu treffen, etwa ob ein Dokument in Protected View geoeffnet werden soll oder ob eingebettete Inhalte ausgefuehrt werden duerfen. Ein Angreifer kann diese Metadaten so manipulieren, dass Word die Sicherheitspruefung faelschlicherweise als bestanden betrachtet.
Die praktische Auswirkung ist ein Security Feature Bypass, der es dem Angreifer ermoeglicht, Schutzfunktionen wie Protected View, die Mark-of-the-Web-Validierung oder Makro-Blockierungen zu umgehen. In Kombination mit eingebettetem Schadcode fuehrt dies effektiv zu Remote Code Execution durch das blosse Oeffnen eines manipulierten Dokuments. Betroffene Produkte sind Microsoft 365 Apps (alle Editionen) sowie Office Long Term Servicing Channel 2021 und 2024.
Häufig gestellte Fragen
Was bedeutet Security Feature Bypass in Microsoft Word?
Ein Security Feature Bypass bedeutet, dass ein Angreifer die in Word eingebauten Schutzmechanismen umgehen kann. Dies koennen Funktionen wie Protected View sein, die Dokumente aus nicht vertrauenswuerdigen Quellen in einer eingeschraenkten Umgebung oeffnen, oder die Makro-Blockierung fuer heruntergeladene Dateien. Wird dieser Schutz umgangen, kann eingebetteter Schadcode ohne Warnung ausgefuehrt werden.
Wie wird CVE-2026-21514 typischerweise ausgenutzt?
Der gaengigste Angriffsvektor ist die Zustellung eines praeparierten Word-Dokuments per E-Mail oder ueber einen Download-Link. Wenn der Benutzer das Dokument oeffnet, werden die Sicherheitspruefungen umgangen und eingebetteter Schadcode wird ohne Sicherheitswarnung ausgefuehrt. Die Schwachstelle erfordert Benutzerinteraktion (UI:R), ist aber ansonsten einfach auszunutzen.
Welche Office-Versionen sind betroffen?
Betroffen sind Microsoft 365 Apps (alle Editionen) sowie Office Long Term Servicing Channel (LTSC) in den Versionen 2021 und 2024. Microsoft empfiehlt die sofortige Installation der verfuegbaren Sicherheitsupdates.
Schuetzt die Protected View vor dieser Schwachstelle?
Die Schwachstelle ermoeglicht es einem Angreifer, genau solche Sicherheitsmechanismen wie die Protected View zu umgehen. Dennoch ist es wichtig, Protected View aktiviert zu lassen, da sie weiterhin Schutz gegen andere Angriffsvektoren bietet und die Schwachstelle nur bei speziell praeparierten Dokumenten greift.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.