Microsoft Office Word: Remote Code Execution durch numerischen Abschneidefehler
Zusammenfassung
Ein Fehler durch numerisches Abschneiden in Microsoft Office Word erlaubt einem nicht autorisierten Angreifer aus der Ferne, Code auf einem betroffenen Computer auszuführen. Eine Benutzerinteraktion ist erforderlich (CVSS UI:R), daher beruht der Angriff vermutlich auf einer präparierten Datei, die per E-Mail oder Dokumentenfreigabe verteilt wird. Der CVSS-Basiswert beträgt 8.8 (hoch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 bis zum fixen Build laut Microsoft-Versionshinweisen (genauer Build unbekannt)
- Microsoft Office LTSC 2021: 16.0.1 vor 16.0.14334.20974
- Microsoft Office LTSC 2024: 16.0.0 vor 16.0.17932.21056
Behoben in
- Microsoft Office LTSC 2021: 16.0.14334.20974
- Microsoft Office LTSC 2024: 16.0.17932.21056
- Microsoft 365 Apps for Enterprise: Unbekannt. Die Microsoft-365-Versionshinweise zum Oktober-2026-Build prüfen.
Umgehung
Unbekannt. Es wurde keine Workaround- oder Schutzmassnahme gefunden, daher ist die Installation des Sicherheitsupdates die Lösung.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
- Nicht im CISA-KEV-Katalog aufgeführt
- Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden
- EPSS: unbekannt
Unsere Empfehlung
- Die Office-Updates vom Oktober 2026 auf alle Client-Computer ausrollen und die Build-Nummer auf jedem Gerät prüfen
- Die Microsoft-365-Build-Nummer und den Status für Mac auf der MSRC-Seite bestätigen
- Dieses Update vor Routine-Updates priorisieren, wegen des CVSS-Werts und des häufigen E-Mail-Angriffswegs
- Benutzer darauf hinweisen, keine Word-Dokumente von unbekannten oder unerwarteten Absendern zu öffnen
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center: CVE-2026-108451 msrc.microsoft.com
- OpenCVE: CVE-2026-108451 app.opencve.io
- Threatint: CVE-2026-108451 cve.threatint.com
- OffSeq Radar: CVE-2026-108451 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.