Активно злоупотребувана zero-day ранливост во Microsoft Office (CVE-2026-21509)

Датум: 27.01.2026
Сериозност: Висока
Статус: Активна злоупотреба

MKD-CIRT ги информира сите институции, компании и корисници дека Microsoft објави
итно (out-of-band) безбедносно ажурирање за критична zero-day ранливост
во Microsoft Office, која веќе се злоупотребува во реални напади преку малициозни
Office документи.

Опис на ранливоста

• CVE: CVE-2026-21509
• CVSS: 7.8
• Тип: Заобиколување на безбедносна функција (Security Feature Bypass)
• Компонента: Object Linking and Embedding (OLE) / COM

Ранливоста произлегува од начинот на кој Microsoft Office обработува
недоверливи влезни податоци при донесување безбедносни одлуки,
што овозможува заобиколување на OLE безбедносните механизми и потенцијално
извршување на опасни COM/OLE контроли.

Начин на злоупотреба

• Напаѓач испраќа малициозен Office документ до жртвата
• Нападот се активира исклучиво при отворање на документот
• Preview Pane не е засегнат (само преглед не го активира нападот)
• Microsoft засега нема објавено детали за конкретните актери или техники

Засегнати производи

• Microsoft Office 2016
• Microsoft Office 2019
• Office LTSC 2021
• Office LTSC 2024
• Microsoft 365 Apps for Enterprise

Итни препораки

За Microsoft 365 и Office 2021 / понови верзии

• Итно рестартирајте ги сите Microsoft Office апликации
• Со рестарт се активира веќе применетата service-side безбедносна заштита

За Office 2016 и Office 2019

Овие верзии сè уште немаат официјален безбедносен patch и остануваат изложени на ризик.
Се препорачува примена на следната привремена registry-мерка:

1. Затворете ги сите Microsoft Office апликации
2. Направете резервна копија (backup) на Windows Registry
3. Проверете дали постои еден од следните registry клучеви:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Office\16.0\Common\COM Compatibility
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Office\16.0\Common\COM Compatibility

4. Доколку не постои, креирајте нов клуч:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

5. Во него креирајте под-клуч со име:

{EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}

6. Во овој клуч креирајте DWORD (32-bit) вредност со име:

Compatibility Flags

7. Поставете:

• Base: Hexadecimal
• Value: 400

По следното стартување на Office апликациите, ранливоста ќе биде
привремено ублажена.

Дополнителни препораки

• Да не се отвораат Office документи од непознати или недоверливи извори
• Да се информираат корисниците за тековната закана
• Да се следат логови и безбедносни настани поврзани со Office
• Веднаш да се примени официјалниот patch кога Microsoft ќе го објави

MKD-CIRT континуирано ја следи состојбата и ќе информира за сите понатамошни
ажурирања поврзани со CVE-2026-21509.