Microsoft heeft na de recente Patch Tuesday-ronde opnieuw updates aangekondigd voor meerdere kwetsbaarheden in zijn Office-suite. De kern van de update zijn Office RCE-patches: Microsoft verhelpt daarbij tientallen beveiligingsproblemen, waaronder twee dozijn high-severity remote code execution (RCE)-lekken. Dit zijn precies de type fouten die, als ze misbruikt worden, kunnen leiden tot het uitvoeren van code op systemen van slachtoffers.
Volgens Microsoft zijn de nieuwe fixes niet als zero-day uitgebuit “in het wild”. Toch is de risico-inschatting voor organisaties hoog, omdat veel RCE-aanvallen in Office doorgaans draaien om een speciaal vervaardigd bestand en gebruikers die het openen.
Wat zijn de belangrijkste Office RCE-patches?
In de bijgewerkte melding van Microsoft gaat het om meer dan 30 nieuwe kwetsbaarheden. Het grootste deel daarvan richt zich op Office. Daarbinnen springen 24 high-severity RCE-kwetsbaarheden eruit.
Een deel van die RCE’s kan mogelijk worden getarget via de Preview Pane (het lees-/voorvertoningspaneel). Praktisch betekent dit dat een aanvaller minder “gebruikershandelingen” nodig kan hebben dan bij scenario’s die expliciet om extra stappen vragen. In de meeste gevallen blijft echter gelden dat een aanvaller een speciaal gemaakt bestand moet versturen, zoals een kwaadaardig document, en de ontvanger moet overtuigen om het te openen.
Welke technische oorzaken komen terug?
Microsoft wijst in meerdere gevallen op buffer overflow-problemen als oorzaak van de RCE’s. Daarnaast worden ook andere foutklassen genoemd, zoals:
- off-by-one fouten
- use-after-free scenario’s
- path traversal-kwetsbaarheden
- numeric truncation-fouten
Hoewel de details technisch zijn, is de implicatie voor beheerders helder: deze kwetsbaarheden gaan vaak over geheugen- en bestandsverwerking. Dat zijn precies de plekken waar Office-extensies, bijlagen en leesfuncties extra risico kunnen vormen als een gebruiker een malafide document opent.
Welke Office-onderdelen zijn geraakt?
Niet alle patches gelden voor dezelfde apps. Word krijgt veruit het grootste deel van de beveiligingsfixes. Daarnaast zijn er ook patches uitgerold voor enkele andere Office-producten, waaronder:
- Excel
- Outlook
- PowerPoint
- SharePoint
Voor security teams betekent dit dat het niet voldoende is om “Office in het algemeen” bij te werken. Controleer per applicatie en per omgeving (bijvoorbeeld desktop, servercomponenten en eventueel integraties met SharePoint) of iedereen op de juiste versie zit.
Meer dan alleen RCE: infoleaks, bypasses en DoS
Naast RCE-kwesties heeft Microsoft ook andere categorieën problemen opgelost in de Office-suite. Zo zijn er updates voor:
- informatie-disclosure: kwetsbaarheden waardoor gevoelige informatie kan worden vrijgegeven
- een security bypass issue in Office
Verder noemt Microsoft ook beveiligingsreparaties buiten puur Office. Zo is er een denial-of-service (DoS)-fout opgelost in ASP.NET Core. Ook is er een elevation of privilege verholpen in Identity Web, en een informatie-disclosure in Authentication Library (MSAL) voor Node.js.
Dat maakt de update breder dan alleen “Office patchen”. Het is een aanleiding om te herijken welke Microsoft-componenten in jullie stack actief zijn en of daar afhankelijkheden liggen met Office en identity/auth-onderdelen.
Waarom Preview Pane relevant is voor aanvallen
Microsoft vermeldt specifiek dat er meerdere RCE-bugs zijn die mogelijk via de Preview Pane kunnen worden benaderd. Voor verdedigers is dit belangrijk omdat het leespaneel vaak standaard aan staat in mail- en documentomgevingen.
Zelfs als een aanval geen zero-day is, kan het misbruik zich wel snel verspreiden zodra aanvallers een werkbaar exploitpad hebben. Daarom is het verstandig om, naast patching, ook te kijken naar beleidsmaatregelen zoals het beperken van documentvoorvertoning, het aanscherpen van e-mail- en bijlagenfilters en het trainen van gebruikers op “niet openen zonder check”.
Als je wilt zien hoe patch- en mitigatiekeuzes zich verhouden tot andere aanvallen op Microsoft-ecosystemen, kan dit artikel over Patch Tuesday en MotW-gerelateerde risico’s helpen om de bredere context te begrijpen.
Updates voor Office voor Mac en Office 365 for Mac
Microsoft heeft daarnaast eerder gepubliceerde advisories geactualiseerd. Daarbij werd aangegeven dat updates beschikbaar zijn voor Office LTSC voor Mac 2021 en 2024 en voor Office 365 voor Mac.
Dat is met name van belang voor organisaties met gemengde clientomgevingen. Mac-gebruikers worden in patchprocessen soms relatief laat meegenomen. Zorg er daarom voor dat je inventaris klopt: welke versies draaien er, welke updatekanalen worden gebruikt en zijn er uitzonderingen?
Geen zero-day, maar wel een reden om snel te patchen
Microsoft stelt dat de nieuw opgeloste issues niet zijn uitgebuit als zero-day. Toch is het geen reden om te wachten. RCE’s in Office hebben in het verleden vaak geleid tot snelle escalatie: zodra een gebruiker een schadelijk bestand opent, kan de aanvaller controle proberen te krijgen over het systeem.
Met andere woorden: zelfs zonder bewezen wild misbruik blijft de kans op “wel misbruik zodra tooling beschikbaar is” reëel. Pak daarom beide sporen aan:
- Patch direct volgens jullie wijzigingsvenster en prioriteitslogica.
- Mitigeer tijdelijk waar patchen vertraging oploopt (bijvoorbeeld via restricties rond preview/attachments, en extra controle op inkomende bestanden).
Praktische checklist voor organisaties
Om de impact van de Office RCE-patches beheersbaar te maken, kun je dit concreet doorlopen:
- Inventariseer Office-versies per gebruiker en per device (Windows én Mac).
- Prioriteer apps met de meeste dekking (met name Word, plus de andere genoemde apps).
- Valideer patchstatus na uitrol: draait alles op de verwachte versie?
- Beperk documentrisico’s door bestandsfiltering en beleid rond het openen/previewen van bijlagen.
- Check identity/auth-afhankelijkheden (ASP.NET Core, Identity Web en MSAL voor Node.js) als jullie die gebruiken.
Als je daarnaast breder kijkt naar het patroon dat in meerdere nieuwsberichten terugkomt—kwetsbaarheden die via documentverwerking of netwerkcomponenten tot code-uitvoering kunnen leiden—kan dit achtergrondstuk over contextuele cybersecurity: van losse alerts naar actie helpen om je detectie- en opvolgingsproces te verbeteren.
Conclusie
De aankondiging van Microsoft laat zien dat Office RCE-patches opnieuw centraal staan: 24 high-severity remote code execution-kwetsbaarheden worden gerepareerd binnen de Office-suite, met extra aandacht voor mogelijke benadering via het Preview Pane. Naast RCE zijn er ook fixes voor informatie-disclosure, security bypasses en daarnaast updates in gerelateerde Microsoft-componenten.
Hoewel Microsoft meldt dat de nieuwe problemen niet als zero-day zijn uitgebuit in het wild, is dit een update die je niet moet onderschatten. Pak de Office-patches snel op, controleer de dekking per app en per platform, en versterk tijdelijk mitigaties waar patchen niet direct lukt.
Bron: https://www.securityweek.com/microsoft-patches-two-dozen-rce-flaws-in-office/
