Переполнение буфера в динамической памяти в Microsoft Office и Microsoft 365 Apps for Enterprise позволяет удалённо выполнить произвольный код. Атакующему не нужны ни учётная запись, ни действие со стороны пользователя. Оценка по CVSS 3.1 достигает 9,8, по устаревшей CVSS 2.0 - 10. Запись в Банке данных угроз безопасности информации (BDU) вышла под номером BDU:2026-16548, сам производитель описывает проблему как CVE-2026-70242.
Уязвимость CVE-2026-70242 в Microsoft Office и 365 Apps
Ошибка относится к классу переполнения буфера в динамической памяти (CWE-122). Приложение выходит за границы выделенного участка памяти, когда разбирает структуры данных. Запись за пределами буфера искажает служебные области, а это открывает возможность подменить данные и направить исполнение в сторону. Способ эксплуатации в базе описан коротко: манипулирование структурами данных.
Вектор сетевой. Привилегии на целевой системе не требуются. Участие пользователя тоже не нужно. Все три показателя воздействия в векторе CVSS 3.1 отмечены как высокие: под угрозой конфиденциальность, целостность и доступность. Для офисного пакета такое сочетание встречается реже, чем сценарии, где жертва сама открывает подготовленный файл.
Затронуты три линейки продуктов. Microsoft 365 Apps for Enterprise уязвим в обеих разрядностях, 32 и 64 бита, конкретную сборку вендор в бюллетене не назвал. Office LTSC 2024 уязвим во всех сборках ниже 16.0.17932.21056, тоже в двух разрядностях. Office LTSC 2021 - во всех сборках ниже 16.0.14334.20974. Сведения о затрагиваемых операционных системах и аппаратных платформах в базе пока уточняются.
Дата выявления - 13 октября 2026 года. Производитель подтвердил проблему и закрыл её обновлением. Публичных данных об эксплойте и о случаях реальной эксплуатации в записи нет: графа о наличии эксплойта помечена как "данные уточняются". Это не отменяет риска, но и не даёт оснований говорить о волне атак.
Офисный пакет стоит почти на каждой корпоративной рабочей машине. Через него проходят документы от контрагентов, письма, вложения из внешних систем. Ошибка в коде разбора данных расширяет периметр любой организации: одна рабочая станция с правами обычного сотрудника превращается в точку входа. Дальше атакующий получает те же права, что и пользователь, а оттуда движется к общим сетевым ресурсам и учётным записям.
Что закрывает обновление
Исправления вышли по обычным каналам Microsoft. Для Office LTSC 2024 нужна сборка 16.0.17932.21056 или новее. Для Office LTSC 2021 - сборка 16.0.14334.20974 или новее. Подписчики Microsoft 365 Apps for Enterprise получают исправление вместе с ежемесячными обновлениями канала, отдельный номер сборки для этой линейки в бюллетене не приводится.
Что делать администраторам
Проверьте фактическую сборку Office на рабочих машинах, а не только наличие обновлений в системе управления. Разрядность важна: 32-битные установки встречаются в парках до сих пор и обновляются отдельным пакетом. Для 365 Apps сверьте канал обновлений и убедитесь, что автоматическое обновление не отключено групповыми политиками. Машины, которые по каким-то причинам остаются на старых сборках, изолируйте от сегментов с общими файловыми хранилищами и почтовыми шлюзами. Отдельно проверьте терминальные серверы и образы для виртуальных рабочих мест: там офисный пакет обновляют реже, чем на физических ноутбуках, а число пользователей на одной установке выше.
Оценка 9,8 по CVSS 3.1 ставит эту уязвимость в один ряд с самыми тяжёлыми ошибками в офисных приложениях за последние годы. Критический уровень опасности здесь подтверждён и производителем, и российской базой угроз. Патч уже есть, и это главное: окно между раскрытием деталей и появлением рабочих эксплойтов обычно измеряется днями, а не месяцами. Организациям, которые откладывают обновление офисного пакета до планового окна обслуживания, стоит пересмотреть приоритеты именно для этой сборки.
Ссылки
- https://bdu.fstec.ru/vul/2026-16548
- https://www.cve.org/CVERecord?id=CVE-2026-70242
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70242
