Microsoft Office Word: Remote Code Execution durch Heap-basierten Pufferüberlauf
Zusammenfassung
Ein Heap-basierter Pufferüberlauf in Microsoft Word, Teil von Microsoft 365 Apps und Office LTSC, ermöglicht Remote Code Execution. Ein nicht authentifizierter Angreifer kann dies über das Netzwerk auslösen, dafür muss jedoch ein Benutzer ein manipuliertes Dokument öffnen oder einem schädlichen Link folgen. Bei einer erfolgreichen Ausnutzung hätte der Angreifer hohe Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems.
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build im MSRC-Advisory (genauer Build unbekannt)
- Office 365 für Mac: vor 16.114.26101123
- Office LTSC 2021 (Windows): vor 16.0.14334.20974
- Office LTSC 2024 (Windows): vor 16.0.17932.21056
- Office LTSC für Mac 2021 und 2024: vor 16.114.26101123
Behoben in
- Office 365 für Mac: 16.114.26101123 oder neuer
- Office LTSC 2021 (Windows): 16.0.14334.20974 oder neuer
- Office LTSC 2024 (Windows): 16.0.17932.21056 laut CVE-Eintrag; ein Drittanbieter-Spiegel nennt 16.114.26101123, daher bei MSRC prüfen
- Office LTSC für Mac 2021 und 2024: 16.114.26101123 oder neuer
- Microsoft 365 Apps for Enterprise: Unbekannt, siehe MSRC-Advisory
Umgehung
Unbekannt. In den Quellen ist kein Workaround dokumentiert. Das Update einspielen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total
- Nicht in der CISA KEV gelistet
- Aggregatoren melden keinen öffentlichen Exploit-Code; Stand 31. Oktober 2026 keine bekannte Ausnutzung in freier Wildbahn
- EPSS 0.00618 von einem Aggregator (nur indikativ)
Unsere Empfehlung
- Die Office-Updates vom Oktober 2026 oder neuer auf allen Office-Installationen einspielen und den korrigierten Build bei MSRC bestätigen
- Sicherstellen, dass die automatischen Office-Updates laufen, oder Updates über WSUS, Intune oder Ihr Update-Tool verteilen
- Geschützte Ansicht aktiviert lassen und Makros aus nicht vertrauenswürdigen Quellen blockieren
- Benutzer anweisen, unerwartete Word-Dokumente aus E-Mails oder Links nicht zu öffnen, und auf Anzeichen einer Ausnutzung achten
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC advisory CVE-2026-108439 msrc.microsoft.com
- OpenCVE CVE-2026-108439 app.opencve.io
- CVE record mirror (threatint) cve.threatint.com
- VulDB CVE-2026-108439 vuldb.com
- TheHackerWire CVE-2026-108439 www.thehackerwire.com
- Vulners (EPSS) vulners.com
- Offseq threat radar CVE-2026-108439 radar.offseq.com
- Windows Update repost of MSRC note (secondary, unverified) thewindowsupdate.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.