Microsoft Office Word: Offenlegung von Informationen durch falsche Zahlentypkonvertierung
Zusammenfassung
Ein Fehler in Microsoft Office Word, der auf einer falschen Konvertierung zwischen Zahlentypen beruht, erlaubt einem nicht autorisierten Angreifer über das Netzwerk, Informationen offenzulegen. Laut Microsoft kann ein Angreifer dadurch möglicherweise kleine Teile des Heap-Speichers auslesen. Der Angreifer benötigt, dass ein Benutzer ein präpariertes Word-Dokument öffnet, etwa eines, das per E-Mail oder Dateifreigabe empfangen wurde; die Auswirkung betrifft nur die Vertraulichkeit.
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 vor dem in https://aka.ms/OfficeSecurityReleases genannten Build (Fix-Build unbekannt)
- Office für Mac 365: vor 16.115.26110837
- Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
- Office LTSC 2024: 16.0.0 vor 16.0.17932.21140
- Office LTSC für Mac 2021: vor 16.115.26110837
- Office LTSC für Mac 2024: vor 16.115.26110837
Behoben in
- Office LTSC 2021: 16.0.14334.21048
- Office LTSC 2024: 16.0.17932.21140 (von Strix.ai angegeben, noch nicht durch Microsoft oder CVE.org bestätigt)
- Office für Mac 365 sowie LTSC für Mac 2021/2024: 16.115.26110837
- Microsoft 365 Apps for Enterprise: Unbekannt.
Umgehung
Unbekannt. Es ist keine dokumentierte Umgehungslösung verfügbar; die Behebung erfolgt über das Sicherheitsupdate.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Nicht öffentlich bekannt; kein öffentlicher Proof of Concept bekannt.
- Nicht in der KEV-Liste; keine vom Hersteller bestätigte Ausnutzung.
- Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
Unsere Empfehlung
- Die Sicherheitsupdates von Microsoft Office vom November 2026 auf allen betroffenen Versionen im regulären Update-Zyklus installieren.
- Geschützte Ansicht für Dateien aus dem Internet oder aus E-Mails aktiviert lassen.
- Nicht vertrauenswürdige Word-Anhänge filtern oder in einer Sandbox öffnen.
- Den Fix-Build für Microsoft 365 Apps auf der Microsoft-Sicherheitsseite überprüfen.
- Priorität: mittel, da die Schwachstelle nicht ausgenutzt wird.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-110051 msrc.microsoft.com
- CVE.org record CVE-2026-110051 www.cve.org
- Microsoft 365 Apps security updates learn.microsoft.com
- Rapid7 Patch Tuesday November 2026 www.rapid7.com
- Strix.ai CVE-2026-110051 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:34.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.