Microsoft Office Word: Use-after-free ermöglicht Remote Code Execution
Zusammenfassung
Microsoft Office Word enthält einen Use-after-free-Speicherfehler (CWE-416) in Microsoft 365 Apps, Office LTSC 2021 und 2024 sowie Office für Mac. Ein nicht autorisierter Angreifer kann über ein Netzwerk Code ausführen. Gemäss CVSS sind hohe Angriffskomplexität und Benutzerinteraktion nötig, weshalb ein Opfer typischerweise ein präpariertes Dokument öffnen muss, das per E-Mail oder Download empfangen wurde.
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 bis vor dem Build in den Versionshinweisen unter https://aka.ms/OfficeSecurityReleases\n- Office 365 für Mac: 1.0.0 bis vor 16.115.26110837\n- Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048\n- Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140\n- Office LTSC für Mac 2021 und 2024: 16.0.0 bzw. 16.0.1 bis vor 16.115.26110837
Behoben in
- Office LTSC 2021: 16.0.14334.21048\n- Office LTSC 2024: 16.0.17932.21140\n- Office 365 für Mac und Office LTSC für Mac: 16.115.26110837\n- Microsoft 365 Apps for Enterprise: Unbekannt (Build auf der Seite mit den Versionshinweisen angegeben, nicht verifiziert)
Umgehung
Unbekannt. In den geprüften Quellen ist kein Workaround dokumentiert. Das Sicherheitsupdate einspielen.
Ausnutzung
- In den geprüften Quellen gibt es keine Hinweise auf eine Ausnutzung dieser CVE in freier Wildbahn.\n- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.\n- In den geprüften Quellen nicht in CISA KEV gelistet.\n- Die aktiv ausgenutzte Zero-Day-Lücke im selben Release betrifft Outlook, nicht diese Word-Lücke.
Unsere Empfehlung
- Microsoft 365 Apps sowie Office LTSC- und Mac-Clients diese Woche über die üblichen Update-Kanäle patchen.\n- Prüfen, dass die Update-Kanäle von Microsoft 365 nicht pausiert sind.\n- Mitarbeitende priorisieren, die regelmässig externe Dokumente öffnen.\n- Prüfen, dass E-Mail-Gateways Office-Anhänge filtern oder in einer Sandbox prüfen.\n- Das MSRC-Advisory und CISA KEV in den kommenden Tagen erneut prüfen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE.org record CVE-2026-109491 www.cve.org
- MSRC Security Update Guide CVE-2026-109491 msrc.microsoft.com
- Strix CVE-2026-109491 (third-party NVD mirror) www.strix.ai
- Rapid7 November 2026 Patch Tuesday review www.rapid7.com
- Cybersecurity News: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
- Action1 Patch Tuesday November 2026 www.action1.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:05.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.