Update: Russische Hacker greifen an Microsoft schließt Zero Day in Office im Eiltempo

Auf die Sicherheitslücke CVE-2026-21509 in Office 2016 bis 2024 und Office 365-Apps musste Microsoft schnell reagieren, denn sie wird bereits aktiv ausgenutzt – auch von russischen Hackern.

Die Sicherheitslücke EUVD-2026-4666^* / CVE-2026-21509 betrifft Microsoft Office 2016 bis 2024 sowie Office-365-Apps und wird akut ausgenutzt. Am 26. Januar 2026 hat Microsoft auf die Schnelle bereits erste Informationen und serverseitig Notfall-Updates für Microsoft Office 2021 und höher veröffentlicht. Mittlerweile ist für Office 2016 ein Update und für Office 2019 ein neuer Build verfügbar und auch Office 365 erhielt ein Sicherheitsupdate.

Termine 2026

Wann ist Microsoft Patchday?

Worum geht es bei der Sicherheitslücke?

Bei EUVD-2026-4666 / CVE-2026-21509 handelt es sich um eine Se­cu­rity-Feature-Bypass-Schwachstelle, die mit einem CVSS-Score von 7.8 zwar „nur“ einen hohen Schweregrad aus­gestellt bekam, allerdings gravierende Auswirkungen haben kann. Das Prob­lem hinter der Schwachstelle ist, dass die Abhängigkeit von nicht vertrauenswürdigen Eingaben bei Sicher­heits­entscheidungen in Microsoft Office es einem nicht autorisierten Angreifer er­mög­licht, Sicherheitsfunktionen lokal zu umgehen. Dafür muss der Angreifer einem Benutzer lediglich eine manipulierte Office-Datei senden und ihn zum Öffnen verleiten. Infolge könnten die Akteure sich Zugriff auf interne Systeme verschaffen und möglicherweise Schadcode aus­führen.

Microsoft Patchday Januar 2026

Viele kritische Schwachstellen und immer mehr Rechteausweitungen

Aktive ausnutzung durch staatliche Hacker

Wie das ukrainische Computer Emergency Response Team (CERT-UA) berichtet, konnten russische Hacker EUVD-2026-4666 / CVE-2026-21509 bereist drei Tage nach Microsofts War­nung ausnutzen. Das ukrainische CERT ordnete diese Angriffe „APT28“ zu, einem staatlichen Bedrohungsakteur, der auch unter den Namen Fancy Bear und Sofacy bekannt ist und mit dem russischen Generalstabsnachrichtendienst (GRU) in Verbindung steht. Die Akteure nutzten die Zero-Day-Schwachstelle, um bösartige Microsoft Word DOC-Dateien zu verteilen, die in E-Mails an EU COREPER-Beratungen (Committee of Permanent Representatives of the Governments of the Member States to the European Union) in der Ukraine angehängt waren.

Beim Öffnen des Dokuments begann eine WebDAV-basierte (Web Distributed Authoring and Versioning) Download-Kette, die Malware über COM-Hijacking (Component Object Model) installierte. Dies geschah durch die Ausführung einer bösartigen DLL-Datei (Dynamic Link Library) namens „EhStoreShell.dll“ und verstecktem Shellcode in einer Bilddatei namens „SplashScreen.png“. Die Malware erstellte zudem eine Aufgabe namens „OneDriveHealth“, die den Prozess „explorer.exe“ neu startet und die „EhStoreShell.dll“ lädt. Dadurch wurde der Shell­code aus dem Bild ausgeführt, was zur Aktivierung der COVENANT-Software auf dem Computer führte. Dadurch erlangten die Angreifer die Kontrolle über das System und waren in der Lage, weitere schädliche Aktivitäten wie den Diebstahl von Daten, die Überwachung des Systems und die Durchführung zusätzlicher Angriffe durchzuführen.

Das CERT-UA weist darauf hin, dass dieses Malware-Framework auch in früheren APT28-An­griffen verwendet wurde, insbesondere bei einem Angriff im Juni 2025, bei dem Signal-Chats ausgenutzt wurden, um die Malware BeardShell und SlimAgent an Regierungsorganisationen in der Ukraine zu liefern.

Teil der russischen Strategie

Hacker nehmen Rüstungslieferanten der Ukraine ins Visier

Patches und Sicherheitsupdates

Normalerweise veröffentlicht Microsoft Sicherheitsupdates einmal im Monat beim Patch Tues­day. Für EUVD-2026-4666 / CVE-2026-21509 kam der Sicherheitshinweis außerplanmäßig, allerdings mit recht wenigen Informationen. Stand jetzt erhalten Kunden für die betroffenen Microsoft-Produkte so die entsprechenden Updates:

• Office 2016, Link zum Patch

• Office 2019, Link zum Patch

• Office LTSC 2021, serverseitiges Patchen durch Microsoft, keine Aktion erforderlich

• Office LTSC 2024, serverseitiges Patchen durch Microsoft, keine Aktion erforderlich

• 365 Apps for Enterprise, Link zum Patch

• Office-2019-Versionen mit Großhandelslizenz sind zwar ausgelaufen, Microsoft hat dennoch einen Patch veröffentlicht

Trotz Kritik und möglicher Sicherheitsrisiken

Microsoft treibt agentenbasiertes Windows 11 weiter voran

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50692268)