Microsoft brengt out-of-band patch uit voor actief misbruikt zero-day kwetsbaarheid in Microsoft Office

Microsoft heeft een out-of-band beveiligingsupdate uitgebracht om een actief uitgebuite zero-day kwetsbaarheid aan te pakken die Microsoft Office aantast, waardoor nog meer druk wordt uitgeoefend op de toch al turbulente updatecyclus van januari 2026, waarin zich ook ernstige stabiliteitsproblemen hebben voorgedaan op Windows 11-systemen.

De kwetsbaarheid, die wordt getraceerd als CVE-2026-21509, is geclassificeerd als een omzeiling van een beveiligingsfunctie die wordt veroorzaakt door "vertrouwen op niet-vertrouwde invoer in een beveiligingsbeslissing in Microsoft Office", aldus het Microsoft Security Response Center. Bij succesvolle uitbuiting kan een aanvaller lokaal de beveiliging van Office omzeilen, met name OLE-mitigaties die zijn ontworpen om kwetsbare COM- en OLE-besturingselementen te blokkeren.

Microsoft heeft de fout een CVSS v3.1 score van 7.8 gegeven en bevestigd dat er in het wild misbruik van wordt gemaakt. Hoewel het bedrijf geen technische details over de aanvallen bekend heeft gemaakt, merkte het op dat exploitatie interactie van de gebruiker vereist, waarbij aanvallers slachtoffers moeten overtuigen om een speciaal ontworpen Office-bestand te openen. Het voorbeeldvenster is geen aanvalsvector.

Systemen met Office 2021 en nieuwer worden automatisch beschermd door een wijziging aan de servicezijde, hoewel gebruikers hun Office-toepassingen opnieuw moeten starten om de beperking in werking te laten treden. Klanten met Office 2016 en Office 2019 zijn echter niet beschermd totdat zij de nieuwste beveiligingsupdates installeren. Microsoft heeft ook een op het register gebaseerde workaround geleverd die onmiddellijk op getroffen systemen kan worden toegepast om uitbuiting te blokkeren voordat de patches worden geïnstalleerd.

De kwetsbaarheid is toegevoegd aan de Known Exploited Vulnerabilities-catalogus die wordt bijgehouden door het Cybersecurity and Infrastructure Security Agency, dat Amerikaanse federale agentschappen verplicht om de updates uiterlijk 16 februari 2026 toe te passen.

Eerder deze maand, Windows 11 beveiligingsupdate KB5074109 in verband gebracht met wijdverspreide stabiliteitsproblemen en meldingen van UNMOUNTABLE_BOOT_VOLUME opstartfouten op sommige systemen, wat de steeds kwetsbaardere staat van recente Windows- en Office-updates onderstreept.