Microsoft Office Word: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Word erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der Angriff erfordert, dass ein Benutzer ein präpariertes Word-Dokument öffnet, etwa eines, das per E-Mail oder über einen geteilten Speicher eingegangen ist; der Code läuft dann mit den Rechten des angemeldeten Benutzers. Der CVSS-3.1-Basiswert beträgt 8.8 (Hoch) gemäss CNA-Eintrag.

Betroffen

• Microsoft 365 Apps for Enterprise: ab 16.0.1, im CVE-Eintrag nicht genannter Fix-Build
• Microsoft Office LTSC 2021: ab 16.0.1 vor 16.0.14334.20974
• Microsoft Office LTSC 2024: ab 16.0.0 vor 16.0.17932.21056

Behoben in

• Microsoft Office LTSC 2021: 16.0.14334.20974
• Microsoft Office LTSC 2024: 16.0.17932.21056
• Microsoft 365 Apps for Enterprise: Unbekannt. Prüfen Sie die Office-Sicherheitsupdates von Microsoft und die aktuellen Versionshinweise zu Microsoft 365.

Umgehung

• Unbekannt. Kein vom Hersteller veröffentlichter Workaround gefunden; das Patchen ist die Massnahme.
• Bis zum Patch (allgemeine Empfehlung, nicht aus den Quellen): Geschützte Ansicht für Internet- und E-Mail-Anhänge aktiviert lassen und verdächtige Word-Anhänge am Mail-Gateway filtern oder in Quarantäne verschieben.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC (Vulnrichment): Ausnutzung keine, automatisierbar nein.
• In den geprüften Tracker-Momentaufnahmen nicht in CISA KEV gelistet (keine Live-Prüfung).
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
• EPSS: Unbekannt.
• Der von VulDB geschätzte Exploit-Preis (USD 5k bis 25k) ist eine Marktschätzung und kein Beleg für Ausnutzung.

Unsere Empfehlung

• Patchen Sie Microsoft 365 Apps und Office LTSC 2021/2024 auf die Fix-Builds im regulären Zyklus für hohe Schweregrade; bei M365 Apps bestätigen Sie den Build anhand der Versionshinweise von Microsoft.
• Prüfen Sie die Herstellerangaben vor dem Rollout, da der Fix-Build für M365 Apps auf der MSRC-Seite nicht bestätigt werden konnte.
• Lassen Sie die Geschützte Ansicht aktiviert und behandeln Sie externe Word-Dokumente mit Vorsicht, insbesondere auf ungepatchten Clients.
• Überwachen Sie Logs von Mail-Gateway und Endpunkten auf verdächtige Word-Anhänge.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-108437 msrc.microsoft.com
• OpenCVE: CVE-2026-108437 app.opencve.io
• VulDB: CVE-2026-108437 (420918) vuldb.com
• OffSeq Radar: CVE-2026-108437 radar.offseq.com
• ThreatIntel: CVE-2026-108437 cve.threatint.com
• Red Packet Security: CVE-2026-108437 alert www.redpacketsecurity.com
• Strix AI: CVE-2026-108437 www.strix.ai
• GitHub issue: astruzocyber/CVE #2080 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:20.