SecBoard
Zurück zur CVE-Übersicht

CVE-2026-88156

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 9.8 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

1.2%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2026-88156 beschreibt einen Stack-basierten Pufferüberlauf in Microsoft Office Outlook. Diese Schwachstelle ermöglicht einem nicht autorisierten Angreifer die Ausführung von Code über ein Netzwerk, was zu einer vollständigen Kompromittierung des betroffenen Systems führen kann. Die genauen betroffenen Versionen sind derzeit nicht spezifiziert. Mit einem CVSS-Score von 9.8 (CRITICAL) wird diese Schwachstelle als äußerst schwerwiegend eingestuft. Trotz der hohen Kritikalität liegt die Exploit-Wahrscheinlichkeit () bei nur 1%, was auf eine geringe aktuelle Ausnutzung hindeutet. Die Schwachstelle ist derzeit nicht im KEV-Katalog gelistet, was bedeutet, dass sie (noch) nicht als aktiv ausgenutzt bekannt ist. Security-Teams sollten diese Schwachstelle dennoch priorisieren und auf offizielle Patches von Microsoft achten, sobald diese verfügbar sind. Eine zeitnahe Implementierung von Updates ist entscheidend, um das Risiko einer Code-Ausführung zu minimieren. Bis dahin sollten Netzwerksegmentierung und strenge Zugriffskontrollen als mitigierende Maßnahmen in Betracht gezogen werden.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Stack-based buffer overflow in Microsoft Office Outlook allows an unauthorized attacker to execute code over a network.

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Threat-Hunting-Queries

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName =~ "outlook.exe"
| where ProcessCommandLine contains "" // Placeholder for suspicious command line arguments if any
| where ProcessCreationEvent.TargetProcess.Image.FileName != "outlook.exe" // Outlook spawning unusual processes
| project TimeGenerated, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, FolderPath

Splunk SPL

sourcetype=WinEventLog:Microsoft-Windows-Sysmon/Operational EventCode=1 | Image="*outlook.exe" | ParentImage="*outlook.exe" | CommandLine!="*outlook.exe*" | table _time, host, Image, ParentImage, CommandLine

Sigma

title: Outlook Stack-based Buffer Overflow Potential Exploitation
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\outlook.exe'
    Image|endswith: # Placeholder for unusual child processes
  condition: selection

Elastic ES|QL

from process where process.parent.executable.full_path : "*\\outlook.exe" and process.executable.full_path : "*" // Placeholder for unusual child processes
| project @timestamp, host.name, process.parent.executable.full_path, process.executable.full_path, process.command_line

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Referenzen