Microsoft Office Word: Lesen ausserhalb des Speicherbereichs führt zu Remote Code Execution

Zusammenfassung

Microsoft Office Word enthält eine Schwachstelle durch Lesen ausserhalb des Speicherbereichs (Out-of-Bounds Read), die einem nicht authentifizierten Angreifer erlaubt, über das Netzwerk Code auszuführen. Für die Ausnutzung muss ein Benutzer ein präpariertes Dokument öffnen, etwa aus einem E-Mail-Anhang oder einer Dateifreigabe. Microsoft stuft die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein (CVSS 3.1 Basiswert 8.8).

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 vor dem auf der Seite Office-Sicherheitsupdates aufgeführten Build
• Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor dem korrigierten Build (unverifiziert, siehe Behoben)
• Office LTSC für Mac 2021: 16.0.1 vor 16.115.26110837
• Office LTSC für Mac 2024: 16.0.0 vor 16.115.26110837

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt. Prüfen Sie die Seite Office-Sicherheitsupdates unter https://aka.ms/OfficeSecurityReleases
• Office 365 für Mac: 16.115.26110837
• Office LTSC 2021: 16.0.14334.21048
• Office LTSC 2024: Unverifiziert. Eine Drittquelle nennt 16.0.17932.21140, dies wurde von Microsoft nicht bestätigt.
• Office LTSC für Mac 2021 und 2024: 16.115.26110837

Umgehung

Unbekannt.

• Für diese CVE ist keine Herstellermassnahme dokumentiert. Das Einspielen des Patches ist die erwartete Behebung.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof-of-Concept gefunden.
• Die Reife des Exploit-Codes gemäss CVSS ist nicht nachgewiesen (E:U).
• NVD-Status zum Zeitpunkt der Veröffentlichung: Awaiting Analysis.

Unsere Empfehlung

• Installieren Sie die Office-Sicherheitsupdates vom November 2026 so rasch wie möglich auf allen betroffenen Installationen, zuerst auf E-Mail- und Dateifreigabe-Systemen.
• Prüfen Sie LTSC- und verwaltete Installationen, die oft später aktualisiert werden als Microsoft 365 Apps mit Cloud-Updates.
• Vergleichen Sie die Build-Nummern vor dem Einsatz mit dem MSRC-Advisory.
• Schränken Sie bis zur Installation des Patches die Öffnung unbekannter Office-Anhänge ein oder isolieren Sie diese (eigene Empfehlung, nicht vom Hersteller).
• Überwachen Sie Indikatoren für eine Ausnutzung und ungewöhnliche Aktivitäten von Word-Prozessen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-109501 www.cve.org
• Microsoft Security Update Guide (MSRC advisory) msrc.microsoft.com
• Tenable: November 2026 Patch Tuesday www.tenable.com
• Strix.ai CVE-2026-109501 (aggregator, cross-check only) www.strix.ai
• NewsBeep: Patch Tuesday list www.newsbeep.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:51.