Microsoft Office Word: Doppelte Freigabe ermöglicht Remote Code Execution

Zusammenfassung

Microsoft Office Word enthält eine Schwachstelle durch doppelte Freigabe (CWE-415), die es einem nicht autorisierten Angreifer erlaubt, über das Netzwerk Code auszuführen. Gemäss CVSS ist eine Benutzerinteraktion erforderlich, etwa das Öffnen eines präparierten Dokuments aus einer E-Mail oder einem Download. Microsoft stuft den Reifegrad des Exploit-Codes als Unproven ein, und es wurden weder aktive Ausnutzung noch ein öffentlicher Proof of Concept gefunden.

Betroffen

• Microsoft 365 Apps for Enterprise (32- und 64-Bit): 16.0.1 vor der korrigierten Version (Build-Nummer unbekannt)
• Office LTSC 2021 (32- und 64-Bit): 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (nicht verifiziert, Sekundärquelle)
• Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Office LTSC für Mac 2021 und 2024: vor 16.115.26110837 (Eintrag 2024 aus Sekundärquelle)

Behoben in

• Office LTSC 2021: 16.0.14334.21048
• Office 365 für Mac: 16.115.26110837
• Office LTSC für Mac 2021 und 2024: 16.115.26110837
• Office LTSC 2024: 16.0.17932.21140 (nicht verifiziert)
• Microsoft 365 Apps for Enterprise: Unbekannt. Die Office-Sicherheitsupdate-Seite von Microsoft prüfen.

Umgehung

Unbekannt. Es wurde kein Workaround von Microsoft gefunden; die Updates vom November 2026 installieren.

• Allgemeine Härtung, nicht gegen die Sicherheitsmitteilung verifiziert: Geschützte Ansicht für Dateien aus dem Internet und E-Mails aktiviert lassen und nicht vertrauenswürdige Office-Dateitypen über Dateiblockierungsrichtlinien einschränken.

Ausnutzung

• Microsoft stuft den Reifegrad des Exploit-Codes als Unproven ein (E:U im CVSS-Vektor).
• Es wurde keine Ausnutzung in freier Wildbahn gefunden. Die aktiv ausgenutzte Zero-Day-Lücke im November betrifft Outlook, nicht diese Schwachstelle.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• CISA KEV: In einer begrenzten Suche nicht gefunden; vor einer Abhängigkeit erneut prüfen.

Unsere Empfehlung

• Die Sicherheitsupdates für Office vom November 2026 auf allen Endgeräten mit Office mit hoher Priorität installieren.
• Die exakten korrigierten Versionen für Microsoft 365 Apps und LTSC 2024 in der MSRC-Sicherheitsmitteilung bestätigen.
• E-Mail-Anhänge und heruntergeladene Dokumente einschränken oder in einer Sandbox öffnen, und Benutzer anweisen, unerwartete Dateien nicht zu öffnen.
• Auf Ausnutzung überwachen und den CISA-KEV-Katalog prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-109503 (CVE.org) www.cve.org
• MSRC Security Update Guide: CVE-2026-109503 msrc.microsoft.com
• Zero Day Initiative: November 2026 Security Update Review www.zerodayinitiative.com
• Cybersecurity News: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
• Strix.ai: CVE-2026-109503 (secondary, unverified versions) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:53.