Microsoft Word: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution
Zusammenfassung
Ein heap-basierter Pufferüberlauf in Microsoft Word, Bestandteil von Microsoft 365 Apps und Office LTSC, kann von einem nicht authentifizierten Angreifer über das Netzwerk ausgenutzt werden. Der CVSS-Vektor erfordert eine Benutzerinteraktion, weshalb ein Angreifer ein Opfer dazu bringen muss, ein präpariertes Word-Dokument zu öffnen, typischerweise per E-Mail oder Download. Eine erfolgreiche Ausnutzung könnte die Ausführung von beliebigem Code mit den Rechten des Benutzers ermöglichen. Ein öffentlicher Proof of Concept oder Hinweise auf aktive Ausnutzung wurden nicht gefunden.
Betroffen
- Microsoft 365 Apps for Enterprise (16.0.1 bis unterhalb des auf der Microsoft-Release-Seite genannten Builds)
- Microsoft Office 365 für Mac (1.0.0 bis unterhalb 16.114.26101123)
- Microsoft Office LTSC 2021 (16.0.1 bis unterhalb 16.0.14334.20974)
- Microsoft Office LTSC 2024 (16.0.0 bis unterhalb 16.0.17932.21056, unbestätigt)
- Microsoft Office LTSC für Mac 2021 und 2024 (unterhalb 16.114.26101123)
Behoben in
- Microsoft 365 Apps for Enterprise: Unbekannt (Build-Nummer nicht bestätigt; siehe Microsoft-Release-Seite)
- Office 365 für Mac und Office LTSC für Mac 2021/2024: 16.114.26101123 oder neuer
- Office LTSC 2021: 16.0.14334.20974 oder neuer
- Office LTSC 2024: 16.0.17932.21056 oder neuer (unbestätigt, auf MSRC zu prüfen)
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Microsoft empfiehlt als Massnahme das Einspielen des Sicherheitsupdates.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Zum Zeitpunkt der Recherche nicht im CISA KEV gelistet
- EPSS unter 1%
- Kein öffentlicher Proof of Concept gefunden
- Nicht bestätigt als Teil der im Oktober 2026 gemeldeten, aktiv ausgenutzten Zero-Day-Lücke von Microsoft
Unsere Empfehlung
- Microsoft 365 Apps, Office LTSC und Office für Mac über die üblichen Update-Kanäle patchen und die Build-Nummern je Produkt im MSRC-Advisory prüfen
- Mail-exponierte und dokumentenintensive Systeme priorisieren
- Geschützte Ansicht für Dateien aus dem Internet und aus E-Mails aktiviert lassen
- Riskante Anhangtypen am Mail-Gateway einschränken und Benutzer schulen, unerwartete Word-Dokumente nicht zu öffnen
- KEV und MSRC erneut prüfen, da der Eintrag neu ist
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-108430 msrc.microsoft.com
- OpenCVE: CVE-2026-108430 app.opencve.io
- Strix: CVE-2026-108430 affected builds www.strix.ai
- OffSeq Radar: CVE-2026-108430 radar.offseq.com
- VulDB: CVE-2026-108430 vuldb.com
- QuestReview Center: October 2026 Office flaws questreviewcenter.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.