Microsoft Office Visio: Remote Code Execution durch Heap-based Buffer Overflow

Zusammenfassung

Ein Heap-based Buffer Overflow in Microsoft Office Visio erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Dafür muss ein Benutzer aktiv mitwirken, etwa indem er eine präparierte Visio- oder Office-Datei öffnet, zum Beispiel aus einer E-Mail. Der CVSS-Basiswert beträgt 8.8 (hoch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 vor dem Build, der unter https://aka.ms/OfficeSecurityReleases aufgeführt ist
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140
• Visio-Komponente: Ob das eigenständige Visio betroffen ist, ist im CNA-Eintrag nicht bestätigt.

Behoben in

• Office LTSC 2021: 16.0.14334.21048
• Office LTSC 2024: 16.0.17932.21140
• Microsoft 365 Apps for Enterprise: Unbekannt. Die von Microsoft referenzierte Release-Seite prüfen.

Umgehung

Unbekannt. Für dieses CVE wurde kein Workaround des Herstellers gefunden.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden; der Status im CISA KEV ist nicht bestätigt.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.

Unsere Empfehlung

• Prüfen, welche Microsoft 365- oder Office-Version auf jedem Endgerät läuft und ob Visio installiert ist.
• Das Sicherheitsupdate von Microsoft vom November 2026 auf allen Office- und Visio-Clients einspielen und den genauen Build auf der MSRC-Seite verifizieren.
• Benutzer schulen, unerwartete Office- oder Visio-Dateien aus E-Mails oder Downloads nicht zu öffnen.
• CISA KEV und NVD auf Statusänderungen überwachen, da die NVD-Analyse noch aussteht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Security Update Guide: CVE-2026-109496 (MSRC) msrc.microsoft.com
• CVE Record CVE-2026-109496 www.cve.org
• Strix AI: CVE-2026-109496 www.strix.ai
• Nessus plugin: related Visio click-to-run fixes (CVE-2026-102855 to 102857) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:54.