Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Microsoft führt CVE-2026-78509 mit einem CVSS-Score von 9.8. Die Schwachstelle betrifft mehrere Microsoft-Office-Produkte. Die CVSS-Bewertung beschreibt einen netzwerkbasierten Angriffsweg mit niedriger Komplexität, ohne erforderliche Authentifizierung und ohne erforderliche Nutzerinteraktion.
Sind meine Systeme betroffen? Jetzt prüfen →
Auf einen Blick:
Laut dem Microsoft Security Response Center Advisory zu CVE-2026-78509 betrifft die Schwachstelle die folgenden Produkte — die vollständige und verbindliche Produktliste sollte direkt im MSRC-Advisory geprüft werden:
Für Vertraulichkeit, Integrität und Verfügbarkeit weist die CVSS-Bewertung jeweils hohe Auswirkungen aus. Für CVE-2026-78509 ist keine aktive Ausnutzung dokumentiert.
Organisationen sollten die betroffenen Produkte im Softwareinventar zuordnen und den Patchstatus für CVE-2026-78509 prüfen. Für die genannten Microsoft-Office- und Word-Produkte sind die Updates des September-Patch-Tuesday 2026 einzuspielen.
Eine strukturierte Bearbeitung umfasst insbesondere:
Für Organisationen in Deutschland und Österreich, die unter die NIS-2-Richtlinie fallen, ist ein strukturiertes Schwachstellenmanagement Teil der gesetzlichen Sorgfaltspflicht; in der Schweiz gilt das revidierte Informationssicherheitsgesetz (ISG) mit Meldepflicht an das BACS. Führt eine erfolgreiche Ausnutzung dieser Schwachstelle zu einem Datenschutzvorfall mit Bezug zu personenbezogenen Daten, besteht gemäß Artikel 33 DSGVO eine 72-Stunden-Meldepflicht an die zuständige Datenschutzbehörde.
Die Prüfung installierter Office-Produkte und ihrer Patchstände bleibt eine Aufgabe des internen Softwareinventars. LocateRisk kann öffentlich erreichbare Dienste und Produktspuren unter eigenen Domains sichtbar machen. Diese Sichtbarkeit kann bei der Priorisierung unterstützen, bestätigt jedoch keine konkret verwundbare Version.
Für die Lieferantenperspektive ergänzt C-VRM die technische Bewertung: Es kann melden, wenn bei Technologieanbietern kritische Schwachstellen bekannt werden oder sich deren Sicherheitsniveau verändert. So lassen sich Herstellerabhängigkeiten in die Risikobewertung einbeziehen.
Betroffen sind Microsoft 365 Apps for Enterprise, Microsoft Office 2019 und Microsoft Office 365 for Mac. Wer wissen will, ob Microsoft 365 Apps for Enterprise, Microsoft Office 2019 und Microsoft Office 365 for Mac in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar sind, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
CVE-2026-78509 ist eine kritische Schwachstelle in mehreren Microsoft-Office-Produkten, die Remote Code Execution ermöglicht. Der CVSS-Score beträgt 9.8 — der höchsten Kritikalitätsstufe in der CVSS-3.1-Skala. Microsoft hat am 8. September 2026 im Rahmen des Patch Tuesday Sicherheitsupdates bereitgestellt.
Laut dem Microsoft Security Response Center sind mehrere Microsoft-Office-Produktfamilien betroffen, darunter Microsoft 365 Apps for Enterprise, Office 2019, verschiedene LTSC-Ausgaben sowie Word 2016. Die verbindliche und vollständige Produktliste ist direkt im MSRC-Advisory einsehbar. Für CVE-2026-78509 ist zum Zeitpunkt der Veröffentlichung keine aktive Ausnutzung dokumentiert.
Microsoft hat am 8. September 2026 Sicherheitsupdates im Rahmen des Patch Tuesday bereitgestellt. Organisationen sollten betroffene Produkte im Inventar erfassen, den Patchstatus mit dem Microsoft Update Guide abgleichen und ausstehende Updates zeitnah einspielen. Anschließend empfiehlt sich die Integration in ein kontinuierliches Schwachstellen-Monitoring.
Stand: 09.09.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Deutsch 
English 
Français