Microsoft Office Excel: Remote Code Execution durch Use-after-free

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in Microsoft Office Excel, Bestandteil von Microsoft 365 Apps und Office, erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Laut CVSS-Vektor ist eine Benutzerinteraktion erforderlich, etwa das Öffnen einer präparierten Datei, weshalb vor allem E-Mail und Dateifreigaben das Risiko tragen. Eine Ausnutzung ist nicht bestätigt und die CVE ist nicht im CISA-KEV-Katalog aufgeführt. Der CVSS-Basiswert beträgt 8.8 (hoch).

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (genauer korrigierter Build unbekannt)
• Microsoft Office 365 für Mac: 1.0.0 bis vor 16.114.26101123
• Microsoft Office LTSC 2021: 16.0.1 bis vor 16.0.14334.20974
• Microsoft Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21056
• Microsoft Office LTSC für Mac 2021 und 2024: 16.0.0 bzw. 16.0.1 bis vor 16.114.26101123
• Microsoft Office Online Server: 16.0.0.0 bis vor 16.0.10417.20228

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt
• Microsoft Office 365 für Mac: 16.114.26101123 (laut CVE-Eintrag, nicht auf MSRC verifiziert)
• Microsoft Office LTSC 2021: 16.0.14334.20974 (laut CVE-Eintrag, nicht auf MSRC verifiziert)
• Microsoft Office LTSC 2024: 16.0.17932.21056 (laut CVE-Eintrag, nicht auf MSRC verifiziert)
• Microsoft Office LTSC für Mac 2021 und 2024: 16.114.26101123 (laut CVE-Eintrag, nicht auf MSRC verifiziert)
• Microsoft Office Online Server: 16.0.10417.20228 (laut CVE-Eintrag, nicht auf MSRC verifiziert)

Umgehung

• Es wurde keine Workaround-Massnahme von Microsoft bestätigt. Die Installation des Sicherheitsupdates ist die vorgesehene Massnahme.
• Dateien von Office-Dokumenten unbekannter externer Absender als allgemeine Praxis einschränken (nicht spezifisch für diese CVE).

Ausnutzung

• Eine Ausnutzung in freier Wildbahn ist für diese CVE nicht bestätigt.
• Zum Zeitpunkt der Recherche ist sie nicht im CISA-KEV-Katalog aufgeführt.
• EPSS-Wert 0.00788 (niedrig).
• Kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Die Sicherheitsupdates vom Oktober 2026 für Microsoft 365 Apps und Office auf allen Excel-Clients prioritär installieren.
• Genaue korrigierte Builds auf der MSRC-Seite prüfen, bevor Versionsnummern verwendet werden.
• Prüfen, ob Office Online Server im Einsatz und aus dem Internet erreichbar ist, und diesen bei Bedarf patchen.
• Auf verdächtige Excel-Anhänge achten und den CISA-KEV-Katalog auf Änderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-100212 msrc.microsoft.com
• NVD record via vulners.com vulners.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Release notes for Office for Mac learn.microsoft.com
• Strix: CVE-2026-100212 (third-party, unverified) www.strix.ai
• Talos: Microsoft Patch Tuesday October 2026 blog.talosintelligence.com
• Qualys: Microsoft Patch Tuesday October 2026 review blog.qualys.com
• GitHub issue: CVE-2026-100212 KEV status github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:37.