Microsoft Office Word: Stack-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Microsoft Office Word enthält einen stack-basierten Pufferüberlauf (CWE-121), der es einem nicht autorisierten Angreifer erlaubt, über das Netzwerk Code auszuführen. Der Angreifer benötigt eine Benutzerinteraktion, sodass ein Opfer ein präpariertes Dokument öffnen muss, typischerweise aus einem E-Mail-Anhang oder einer Dateifreigabe. Der CVSS-3.1-Basiswert beträgt 8.8 (hoch) mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die NVD-Analyse war zum Zeitpunkt der Veröffentlichung ausstehend, und in den geprüften Quellen wurden weder Ausnutzung noch ein öffentlicher Proof-of-Concept gefunden.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 vor dem in https://aka.ms/OfficeSecurityReleases genannten Fix-Build
• Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (sekundäre Quelle, durch Microsoft zu bestätigen)
• Office LTSC für Mac 2021 und 2024: vor 16.115.26110837 (in den geprüften Quellen nicht durch Microsoft bestätigt)

Behoben in

• Office LTSC 2021: 16.0.14334.21048
• Office 365 für Mac: 16.115.26110837
• Microsoft 365 Apps for Enterprise: Unbekannt. Prüfen unter https://aka.ms/OfficeSecurityReleases
• Office LTSC 2024: 16.0.17932.21140 (sekundäre Quelle, zu bestätigen)
• Office LTSC für Mac 2021/2024: Unbekannt (durch Microsoft zu bestätigen)

Umgehung

• Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround gefunden; das Herstellerpatch ist die Massnahme.
• Provisorische Massnahmen (nicht vom Hersteller): Erstellung von Child-Prozessen durch Office mit Microsoft Defender Attack Surface Reduction-Regeln einschränken, Geschützte Ansicht aktiviert lassen und Office-Anhänge am Mail-Gateway filtern.

Ausnutzung

• Ausnutzung in freier Wildbahn: in den geprüften Quellen keine Hinweise gefunden. Nicht gegen den CISA-KEV-Katalog verifiziert.
• Öffentlicher Proof-of-Concept: keiner gefunden.
• CVE.org-Eintrag: Exploit-Reife Unproven (E:U), Berichtsvertrauen Confirmed (RC:C).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Die Microsoft-Office-Sicherheitsupdates vom November 2026 auf allen betroffenen Office-Installationen einspielen, mit Priorität auf Microsoft 365 und E-Mail-exponierte Systeme.
• Die Fix-Builds gegen das MSRC Security Update Guide verifizieren, da einige Fix-Versionen noch nicht durch Microsoft bestätigt sind.
• Die Defender-ASR-Regel zum Blockieren der Erstellung von Child-Prozessen durch Office anwenden und die Geschützte Ansicht aktiviert lassen.
• Eingehende Office-Dokumente am Mail-Gateway filtern oder in einer Sandbox prüfen und auf ungewöhnliches Verhalten des Word-Prozesses achten.
• Den NVD- und CISA-KEV-Status erneut prüfen, da der Eintrag kürzlich veröffentlicht wurde und sich ändern kann.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-109505 msrc.microsoft.com
• CVE.org record CVE-2026-109505 www.cve.org
• ZDI November 2026 Security Update Review www.zerodayinitiative.com
• Strix CVE-2026-109505 www.strix.ai
• OffSeq Radar: November 2026 Patch Tuesday radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:48.