-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Microsoft Office
Advisory ID     : NCSC-2026-0352
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-62804, CVE-2026-63523, CVE-2026-64918,
                  CVE-2026-66302, CVE-2026-66303, CVE-2026-66304,
                  CVE-2026-66305, CVE-2026-66306, CVE-2026-66307,
                  CVE-2026-66308, CVE-2026-69268, CVE-2026-69273,
                  CVE-2026-69282, CVE-2026-69285, CVE-2026-69402,
                  CVE-2026-69409, CVE-2026-69417, CVE-2026-69442,
                  CVE-2026-69464, CVE-2026-69465, CVE-2026-69477,
                  CVE-2026-69529, CVE-2026-69559, CVE-2026-69614,
                  CVE-2026-69615, CVE-2026-69626, CVE-2026-69629,
                  CVE-2026-69632, CVE-2026-69636, CVE-2026-69642,
                  CVE-2026-69646, CVE-2026-69671, CVE-2026-69678,
                  CVE-2026-69683, CVE-2026-69686, CVE-2026-69690,
                  CVE-2026-69716, CVE-2026-69719, CVE-2026-69722,
                  CVE-2026-69724, CVE-2026-69734, CVE-2026-69739,
                  CVE-2026-69742, CVE-2026-69759, CVE-2026-69764,
                  CVE-2026-69767, CVE-2026-69778, CVE-2026-69797,
                  CVE-2026-69804, CVE-2026-69904, CVE-2026-72938,
                  CVE-2026-72956, CVE-2026-72972, CVE-2026-72973,
                  CVE-2026-72974, CVE-2026-72975, CVE-2026-72976,
                  CVE-2026-72977, CVE-2026-77898, CVE-2026-78439,
                  CVE-2026-78502, CVE-2026-78503, CVE-2026-78504,
                  CVE-2026-78505, CVE-2026-78506, CVE-2026-78507,
                  CVE-2026-78509, CVE-2026-78510, CVE-2026-78511,
                  CVE-2026-78512, CVE-2026-78513, CVE-2026-78514,
                  CVE-2026-78515, CVE-2026-78517, CVE-2026-78526,
                  CVE-2026-80076, CVE-2026-80078, CVE-2026-80082,
                  CVE-2026-80084, CVE-2026-80086, CVE-2026-80087,
                  CVE-2026-80089, CVE-2026-80091, CVE-2026-81385,
                  CVE-2026-81386, CVE-2026-81387, CVE-2026-81388,
                  CVE-2026-81389, CVE-2026-81390, CVE-2026-81391,
                  CVE-2026-81392, CVE-2026-81393, CVE-2026-81394,
                  CVE-2026-81395, CVE-2026-81396, CVE-2026-81397,
                  CVE-2026-81398, CVE-2026-81399, CVE-2026-81400,
                  CVE-2026-81401, CVE-2026-81947, CVE-2026-81948,
                  CVE-2026-81949, CVE-2026-81950, CVE-2026-81951,
                  CVE-2026-81952, CVE-2026-81953, CVE-2026-81954,
                  CVE-2026-81955, CVE-2026-81956, CVE-2026-81957,
                  CVE-2026-81958, CVE-2026-81959, CVE-2026-81960
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  External Control of File Name or Path
                  Improper Neutralization of Input During Web Page
                  Generation ('Cross-site Scripting')
                  Improper Neutralization of Special Elements used in an
                  SQL Command ('SQL Injection')
                  Stack-based Buffer Overflow
                  Heap-based Buffer Overflow
                  Out-of-bounds Read
                  Buffer Over-read
                  Improper Null Termination
                  Integer Overflow or Wraparound
                  Integer Underflow (Wrap or Wraparound)
                  Off-by-one Error
                  Numeric Truncation Error
                  Generation of Error Message Containing Sensitive
                  Information
                  Execution with Unnecessary Privileges
                  Origin Validation Error
                  Improper Verification of Cryptographic Signature
                  Time-of-check Time-of-use (TOCTOU) Race Condition
                  Double Free
                  Use After Free
                  NULL Pointer Dereference
                  Exposure of Sensitive System Information to an
                  Unauthorized Control Sphere
                  Deserialization of Untrusted Data
                  Insufficiently Protected Credentials
                  Use of Client-Side Authentication
                  Untrusted Pointer Dereference
                  Access of Resource Using Incompatible Type ('Type
                  Confusion')
                  Missing Authorization
                  Use of Uninitialized Resource
                  Server-Side Request Forgery (SSRF)
Uitgiftedatum   : 20260908
Toepassing      : Microsoft Microsoft 365 Apps for Enterprise for 32-bit
                  Systems
                  Microsoft Microsoft 365 Apps for Enterprise for 64-bit
                  Systems
                  Microsoft Microsoft Access 2016 (32-bit edition)
                  Microsoft Microsoft Access 2016 (64-bit edition)
                  Microsoft Microsoft Excel 2016 (32-bit edition)
                  Microsoft Microsoft Excel 2016 (64-bit edition)
                  Microsoft Microsoft Office 2016 (32-bit edition)
                  Microsoft Microsoft Office 2016 (64-bit edition)
                  Microsoft Microsoft Office 2019 for 32-bit editions
                  Microsoft Microsoft Office 2019 for 64-bit editions
                  Microsoft Microsoft Office 365 for Mac
                  Microsoft Microsoft Office LTSC 2021 for 32-bit
                  editions
                  Microsoft Microsoft Office LTSC 2021 for 64-bit
                  editions
                  Microsoft Microsoft Office LTSC 2024 for 32-bit
                  editions
                  Microsoft Microsoft Office LTSC 2024 for 64-bit
                  editions
                  Microsoft Microsoft Office LTSC for Mac 2021
                  Microsoft Microsoft Office LTSC for Mac 2024
                  Microsoft Microsoft Office for Android
                  Microsoft Microsoft Outlook 2016 (32-bit edition)
                  Microsoft Microsoft Outlook 2016 (64-bit edition)
                  Microsoft Microsoft PowerPoint 2016 (32-bit edition)
                  Microsoft Microsoft PowerPoint 2016 (64-bit edition)
                  Microsoft Microsoft Publisher 2016 (32-bit edition)
                  Microsoft Microsoft Publisher 2016 (64-bit edition)
                  Microsoft Microsoft SharePoint Enterprise Server 2016
Versie(s)       :
Platform(s)     :

Beschrijving
   Microsoft heeft 114 kwetsbaarheden verholpen in diverse Office
   producten.

   Een kwaadwillende kan de kwetsbaarheden misbruiken om aanvallen uit
   te voeren die kunnen leiden tot de categorieën schade, zoals genoemd
   in onderstaande tabel.
   Voor succesvol misbruik moet de kwaadwillende het slachtoffer
   misleiden een malafide bestand te openen of link te volgen.
   Microsoft heeft voor Office 114 kwetsbaarheden verholpen. De 4
   ernstigste kwetsbaarheden bevinden zich in meerdere Office
   componenten en hebben een CVSS score van 9.8 toegewezen gekregen.
   Kwaadwillenden met toegang tot deze componenten kunnen zonder
   voorafgaande authenticatie mogelijk code uitvoeren of zich toegang
   verschaffen tot het kwetsbare systeem. Deze kwetsbaarheden zijn in
   onderstaande tabel weergegeven.
   De overige 110 kwetsbaarheden variëren in ernst van middelmatig tot
   hoog en kritiek. Raapleeg het MSRC-portaal voor aanvullende
   informatie.
   ```
   |----------------|------|---------------------------|----------------
   ---------------------|
   | CVE-ID         | CVSS | Component                 | Impact
   |
   |----------------|------|---------------------------|----------------
   ---------------------|
   | CVE-2026-78505 | 9,80 | Office                    | Uitvoeren van
   willekeurige code     |
   |----------------|------|---------------------------|----------------
   ---------------------|
   | CVE-2026-78509 | 9,80 | Outlook                   | Uitvoeren van
   willekeurige code     |
   |----------------|------|---------------------------|----------------
   ---------------------|
   | CVE-2026-78510 | 9,80 | Outlook                   | Uitvoeren van
   willekeurige code     |
   |----------------|------|---------------------------|----------------
   ---------------------|
   | CVE-2026-66302 | 9,80 | SKYPE                     | Uitvoeren van
   willekeurige code     |
   |----------------|------|---------------------------|----------------
   ---------------------|
   ```

Mogelijke oplossingen
   Microsoft heeft updates beschikbaar gesteld waarmee de beschreven
   kwetsbaarheden worden verholpen. We raden u aan om deze updates te
   installeren. Meer informatie over de kwetsbaarheden, de installatie
   van de updates en eventuele work-arounds vindt u op:
   https://portal.msrc.microsoft.com/en-us/security-guidance

   Referenties:
      Reference
      https://portal.msrc.microsoft.com/en-us/security-guidance

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=od2y
-----END PGP SIGNATURE-----