Microsoft Word: Heap-basierter Pufferüberlauf führt zu Codeausführung

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Word, das in Microsoft 365 Apps for Enterprise, Office LTSC 2021 und 2024 sowie Office für Mac enthalten ist, ermöglicht die Ausführung von Code. Der CVSS-Vektor ist lokal (AV:L) und erfordert keine Berechtigungen, aber eine Benutzerinteraktion, sodass ein Angreifer in der Regel einen Benutzer benötigt, der ein manipuliertes Dokument öffnet. Eine erfolgreiche Ausnutzung würde die Vertraulichkeit, Integrität und Verfügbarkeit vollständig gefährden (CVSS 7.8 High). Die Analyse durch die NVD steht noch aus, und die Quellen widersprechen sich bezüglich des Angriffsvektors.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 vor dem korrigierten Build (Build-Nummer im CNA-Eintrag nicht angegeben)
• Office für Mac und Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: als betroffen aufgeführt, Bereichsbeginn 16.0.0 (korrigierter Build nicht bestätigt)
• Office LTSC für Mac 2021 und 2024: 16.0.1 bzw. 16.0.0 vor 16.115.26110837

Behoben in

• Office für Mac: 16.115.26110837 oder neuer (laut CNA-Eintrag)
• Office LTSC 2021: 16.0.14334.21048 oder neuer (laut CNA-Eintrag)
• Microsoft 365 Apps for Enterprise: korrigierter Build nicht angegeben; siehe MSRC
• Office LTSC 2024: korrigierter Build unbestätigt; auf MSRC prüfen

Umgehung

Unbekannt. Es wurde keine vom Hersteller veröffentlichte Umgehungslösung gefunden. Die Abschnitte 'Mitigations' und 'Workarounds' im MSRC-Advisory prüfen.

Ausnutzung

• Es wurden keine Berichte über Ausnutzung in freier Wildbahn oder öffentlich verfügbaren Proof-of-Concept-Code gefunden. Dies ist keine bestätigte Abwesenheit.
• Der CNA-Eintrag stuft die Reife des Exploit-Codes als Unproven (E:U) ein.
• Das Update vom November 2026 enthält eine aktiv ausgenutzte Schwachstelle, einen Outlook-Spoofing-Fehler, der nicht diese CVE betrifft.

Unsere Empfehlung

• Alle Office-Clients (Microsoft 365 Apps, LTSC 2021/2024, Office für Mac) zeitnah mit den auf MSRC genannten Builds aktualisieren.
• Die betroffenen Builds und Korrekturen auf MSRC prüfen, bevor die oben genannten Versionsnummern verwendet werden.
• Nicht vertrauenswürdige Word-Anhänge und Downloads einschränken oder in einer Sandbox öffnen; wo möglich, Word-Dateien aus dem Internet blockieren.
• Nach dem Öffnen von Dokumenten auf verdächtige Aktivitäten der Office-Prozesse achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (CVE-2026-110049) msrc.microsoft.com
• CVE.org record CVE-2026-110049 www.cve.org
• CVEProject cvelistV5 release github.com
• Action1: Patch Tuesday November 2026 www.action1.com
• CrowdStrike: Patch Tuesday analysis November 2026 www.crowdstrike.com
• NT Compatible: Microsoft November 2026 Patch Tuesday www.ntcompatible.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:24.