Microsoft Office: Notfall-Update schließt gefährliche Zero-Day-Lücke

Microsoft hat ein Notfall-Update für eine kritische Sicherheitslücke in Office veröffentlicht, die bereits aktiv ausgenutzt wird. Die Schwachstelle erlaubt Angreifern, zentrale Schutzmechanismen zu umgehen.

Die als CVE-2026-21509 identifizierte Zero-Day-Lücke betrifft eine breite Palette von Office-Versionen, darunter Office 2016, 2019, die LTSC-Varianten 2021 und 2024 sowie Microsoft 365 Apps for Enterprise. Die Dringlichkeit veranlasste Microsoft, den Patch außerhalb des regulären „Patch Tuesday“-Zyklus bereitzustellen – ein deutliches Alarmsignal. Während Updates für die meisten Versionen verfügbar sind, stehen Patches für Office 2016 und 2019 noch aus.

Angriff über manipulierte Office-Dateien

Bei der Schwachstelle handelt es sich um einen Sicherheitsfeature-Bypass im Zusammenhang mit OLE-Steuerelementen (Object Linking and Embedding). Diese Technologie erlaubt das Einbetten von Inhalten einer Anwendung in eine andere. Angreifer nutzen nun eine Schwachstelle in der Verarbeitung dieser Objekte aus, um Schutzmechanismen gegen schädliche Inhalte zu umgehen.

Social‑Engineering und gezielte Phishing‑Mails sind der häufigste Einstieg für Office‑Zero‑Day‑Angriffe – genau wie im Artikel beschrieben. Das kostenlose Anti‑Phishing‑Paket zeigt in vier klaren, sofort umsetzbaren Schritten, wie Sie gefälschte Anhänge erkennen, CEO‑Fraud abwehren und Ihre Mitarbeitenden praktisch sensibilisieren. Enthalten sind Checklisten, Muster‑Analysen von Phishing‑Mails und Vorlagen für Awareness‑Maßnahmen, die IT‑Teams sofort einsetzen können. Jetzt Anti‑Phishing‑Paket gratis anfordern

Für einen erfolgreichen Angriff muss ein Opfer eine präparierte Office-Datei öffnen. Die Vorschaufunktion (Preview Pane) ist laut Microsoft kein möglicher Angriffsweg – die Datei muss aktiv geöffnet werden. Dies unterstreicht die zentrale Rolle von Social Engineering und Phishing-E-Mails bei dieser Attacke.

So schützen Sie sich jetzt

Microsoft drängt alle Nutzer betroffener Software zur sofortigen Installation der Sicherheitsupdates. Für Office LTSC 2021, LTSC 2024 und Microsoft 365 Apps sind die Patches verfügbar. Für die noch nicht gepatchten Versionen Office 2016 und 2019 bietet das Unternehmen eine Übergangslösung an.

Diese manuellen Gegenmaßnahmen erfordern Änderungen an der Windows-Registrierung, um die anfälligen COM/OLE-Steuerelemente zu blockieren. Microsoft warnt davor, vor solchen Eingriffen die Registry zu sichern, da Fehler die Systemstabilität gefährden können.

Der Notfall-Release folgt kurz auf den regulären Patch Tuesday im Januar 2026, bei dem bereits 113 Schwachstellen behoben wurden – darunter eine weitere aktiv ausgenutzte Zero-Day-Lücke.

Im Visier: Die menschliche Firewall

Die Ausnutzung von Zero-Day-Lücken in allgegenwärtiger Bürosoftware wie Microsoft Office bleibt eine bevorzugte Taktik von Cyberkriminellen und staatlichen Akteuren. Solche Anwendungen bieten eine riesige Angriffsfläche und können als Einstiegspunkt für Datendiebstahl, Ransomware oder Spionage dienen.

Der Angriffsweg verdeutlicht erneut, dass technische Verteidigung allein nicht ausreicht. Die menschliche Komponente ist oft das schwächste Glied. Das erfolgreiche Umgehen der OLE-Sicherheitsvorkehrungen zeigt zudem den anhaltenden Wettlauf zwischen Software-Herstellern und Angreifern. Schutzmechanismen, die jahrelang funktionierten, werden nun ausgehebelt.

Für Unternehmen ist jetzt schnelles Handeln gefragt. Systemadministratoren müssen alle gefährdeten Office-Installationen identifizieren und die verfügbaren Updates einspielen. Wo dies noch nicht möglich ist, sind die Registry-Anpassungen ein zwingender Zwischenschritt. Die frühe Zero-Day-Bedrohung im Jahr 2026 unterstreicht die Notwendigkeit einer mehrschichtigen Sicherheitsstrategie mit zeitnahem Patch-Management, Mitarbeiterschulungen und moderner Bedrohungserkennung.

PS: Ergänzend zu Patches schützt eine geschulte Belegschaft am schnellsten vor gezielten Office‑Angriffen. Das Anti‑Phishing‑Paket liefert Praxistests, Vorlagen für Phishing‑Simulationen und eine 4‑Punkte‑Checkliste, mit der Sie sofort prüfen können, ob Ihre Mitarbeitenden noch angreifbar sind. Gerade bei aktiven Zero‑Days ist schnelles Awareness‑Training entscheidend, um weitere Zugänge zu verhindern. Anti‑Phishing‑Notfallset herunterladen