Microsoft Office Visio: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Office Visio, Bestandteil von Microsoft 365 Apps sowie Office LTSC 2021/2024, erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Es sind keine Berechtigungen nötig, jedoch muss ein Benutzer mitwirken, etwa indem er eine manipulierte Visio-Datei per E-Mail, Download oder Freigabe öffnet. Der CVSS-Basiswert beträgt 8.8 (hoch).

Betroffen

• Microsoft 365 Apps for Enterprise (16.0.1 bis zum von Microsoft aufgeführten Fix-Build; genaue Grenze nicht bestätigt)
• Microsoft Office LTSC 2021: Versionen vor 16.0.14334.20974
• Microsoft Office LTSC 2024: Versionen vor 16.0.17932.21056
• Eigenständige (MSI-)Visio-Versionen: unbekannt

Behoben in

• Installieren Sie die aktuellen Sicherheitsupdates für Microsoft 365 Apps und Office LTSC über aka.ms/OfficeSecurityReleases.
• Build-Nummern aus Drittquellen (zum Beispiel 16.0.20430.20182 für den Current Channel) sind auf der MSRC-Seite nicht bestätigt und müssen vor dem Rollout geprüft werden.
• Der Support für Office LTSC 2021 endete am 13. Oktober 2026; dieses Update ist das letzte.

Umgehung

• Offizielle Workaround: unbekannt. Der Advisory von Microsoft mit einem Workaround-Abschnitt wurde nicht abgerufen.
• Vermeiden Sie das Öffnen unerwarteter oder nicht vertrauenswürdiger Visio-Dateien und beschränken Sie Visio-Dateien aus unsicheren Quellen, soweit möglich.

Ausnutzung

• Microsoft stuft die Reife des Exploit-Codes als Unproven (E:U) ein.
• Nicht in CISA KEV gelistet; die CISA-SSVC-Bewertung lautet Exploitation none und Automatable no.
• Kein öffentlicher Proof-of-Concept gefunden; der EPSS-Wert liegt bei etwa 0.6 %.
• Ausnutzung in der Praxis: unbekannt.

Unsere Empfehlung

• Priorisieren Sie das Patchen der Microsoft 365 Apps über die üblichen Update-Kanäle.
• Planen Sie für Office-LTSC-2021-Systeme ein Upgrade, da diese keine Updates mehr erhalten.
• Prüfen Sie die Build-Nummern vor dem Rollout über aka.ms/OfficeSecurityReleases.
• Beschränken Sie nicht vertrauenswürdige Visio-Dateien, insbesondere für Mitarbeitende, die externe Dokumente bearbeiten.
• Überwachen Sie Endgeräte auf verdächtiges Verhalten von Office-Anwendungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-102855 msrc.microsoft.com
• Microsoft Security Update Guide advisory: CVE-2026-102855 msrc.microsoft.com
• Vulners: CVE-2026-102855 vulners.com
• VulDB: CVE-2026-102855 vuldb.com
• Action1: October 2026 Patch Tuesday analysis www.action1.com
• Office Watch: October 2026 Office critical fixes office-watch.com
• Strix AI: CVE-2026-102855 www.strix.ai
• Vulners Microsoft CVE mirror: MS:CVE-2026-102855 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:16.