Microsoft Office Word: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution
Zusammenfassung
Ein heap-basierter Pufferüberlauf in Microsoft Office Word erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angriff erfordert, dass ein Benutzer ein präpariertes Dokument öffnet, typischerweise per E-Mail oder Download, und die Angriffskomplexität ist hoch. Eine erfolgreiche Ausnutzung könnte die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Arbeitsplatzes beeinträchtigen.
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 vor dem korrigierten Build (genaue Build-Nummer unbekannt, siehe MSRC)
- Office 365 für Mac: 1.0.0 vor 16.115.26110837
- Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
- Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (Quelle: Drittanbieter-Aggregator)
- Office LTSC für Mac 2021 und 2024: vor 16.115.26110837 (Zeile LTSC 2024 für Mac: Quelle Drittanbieter-Aggregator)
- Office 2016, 2019 und Office 2021 Retail: Unbekannt.
Behoben in
- Microsoft 365 Apps for Enterprise: Unbekannt. Siehe Microsoft-Seite für Office-Sicherheitsupdates (aka.ms/OfficeSecurityReleases) und MSRC.
- Office 365 für Mac und LTSC für Mac: 16.115.26110837 oder neuer
- Office LTSC 2021: 16.0.14334.21048 oder neuer
- Office LTSC 2024: 16.0.17932.21140 oder neuer
Umgehung
Unbekannt. Es wurde kein dokumentierter Workaround gefunden. Das Sicherheitsupdate einspielen.
Ausnutzung
- Der temporale CVSS-Vektor von Microsoft zeigt die Exploit-Reife 'unproven' und einen vom Hersteller bestätigten Status.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- Unbekannt, ob diese CVE jene ist, die Microsoft im Patch Tuesday vom November 2026 als aktiv ausgenutzt meldet.
- Der Status im CISA-KEV-Katalog wurde nicht geprüft.
Unsere Empfehlung
- Hohe Priorität im Office-Update-Zyklus vom November 2026 einplanen.
- Den korrigierten Build für jeden Office-Kanal auf MSRC prüfen und das Update auf allen Office-Installationen einspielen.
- Die installierten Versionen anschliessend verifizieren.
- Word-Anhänge am Mail-Gateway filtern oder in einer Sandbox prüfen und Geschützte Ansicht aktiviert lassen.
- CISA KEV und den Exploitation-Status bei MSRC in den nächsten Tagen erneut prüfen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center advisory CVE-2026-109500 msrc.microsoft.com
- CVE Record CVE-2026-109500 (CNA: Microsoft) www.cve.org
- Strix CVE-2026-109500 (third-party aggregator) www.strix.ai
- Rapid7 Patch Tuesday review November 2026 www.rapid7.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.