Microsoft Office: Heap-based Buffer Overflow ermöglicht Remote Code Execution
Zusammenfassung
Ein Heap-based Buffer Overflow in Microsoft Office (CWE-122) ermöglicht einem nicht authentifizierten Angreifer die Ausführung von Code über ein Netzwerk. Der CVSS-3.1-Basiswert beträgt 8.8. Für die Ausnutzung ist eine Benutzerinteraktion nötig, daher ist der wahrscheinlichste Weg ein manipuliertes Dokument per Phishing oder als schädlicher Anhang. Die Herstellerangaben betreffen Microsoft 365 Apps for Enterprise, Office LTSC 2021, Office LTSC 2024 und Office für Mac.
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 bis zum im Dokument unter https://aka.ms/OfficeSecurityReleases genannten Build (genauer Fix-Build unbekannt)
- Office 365 für Mac: vor 16.114.26101123 (Angaben von Aggregatoren, nicht verifiziert)
- Office LTSC 2021: vor 16.0.14334.20974 (Angaben von Aggregatoren, nicht verifiziert)
- Office LTSC 2024: vor 16.0.17932.21056 (Angaben von Aggregatoren, nicht verifiziert)
- Office LTSC für Mac 2021 und 2024: vor 16.114.26101123 (Angaben von Aggregatoren, nicht verifiziert)
Behoben in
- Microsoft 365 Apps for Enterprise: Unbekannt. Den Fix-Build dem MSRC-Advisory entnehmen.
- Office LTSC, Office für Mac: Die oben genannten Versionen als behoben, nicht gegen MSRC verifiziert.
- Der CVE-Eintrag und die Angaben von offseq deuten darauf hin, dass ein offizieller Herstellerfix verfügbar ist.
Umgehung
- Keine herstellerspezifische Umgehungsmassnahme identifiziert.
- Unbekannt, ob MSRC eine Zwischenmassnahme auflistet.
- Die neuesten Herstellerupdates einspielen.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Zum Zeitpunkt der Recherche sind kein öffentlicher Proof of Concept und kein Exploit-Code bestätigt.
- EPSS-Wert: Unbekannt.
Unsere Empfehlung
- Microsoft 365 Apps sowie Office-LTSC- und Mac-Installationen prioritär patchen.
- Sicherstellen, dass die automatischen Microsoft-365-Updates auf allen Endgeräten laufen.
- LTSC- und Mac-Installationen separat prüfen, da diese über andere Kanäle aktualisiert werden.
- Alle Versionsnummern vor der Kundenkommunikation am MSRC-Advisory verifizieren.
- Benutzer bis zum Abschluss des Patchings vor unaufgeforderten Dokumenten und Anhängen warnen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-108444 msrc.microsoft.com
- OpenCVE: CVE-2026-108444 app.opencve.io
- Offseq Radar: CVE-2026-108444 radar.offseq.com
- ThreatInt: CVE-2026-108444 cve.threatint.com
- The Hacker Wire: CVE-2026-108444 www.thehackerwire.com
- Strix AI: CVE-2026-108444 www.strix.ai
- VulDB: CVE-2026-108444 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.