Microsoft Office Word: Remote Code Execution durch Heap-basiertes Buffer Overflow

Zusammenfassung

Microsoft Office Word enthält ein Heap-basiertes Buffer Overflow, das einem nicht autorisierten Angreifer über das Netzwerk die Ausführung von Code ermöglicht. Voraussetzung ist, dass ein Benutzer ein präpariertes Dokument öffnet, etwa ein per E-Mail erhaltenes oder aus dem Internet heruntergeladenes. Der CNA stuft die Schwachstelle als hoch ein (CVSS 3.1 8.8), und die CISA-SSVC-Bewertung meldet keine bekannte Ausnutzung. Die Analyse durch NVD ist noch ausstehend.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (der CNA-Eintrag verweist auf eine aka.ms-Seite statt auf eine Versionsnummer)
• Office 365 für Mac: vor 16.115.26110837
• Office LTSC 2021: vor 16.0.14334.21048
• Office LTSC 2024 und Office LTSC für Mac 2021/2024: korrigierte Builds nicht verifiziert (eine Drittquelle nennt 16.0.17932.21140 für LTSC 2024)

Behoben in

• Die Office-Sicherheitsupdates vom November 2026 auf allen betroffenen Installationen einspielen.
• Die genauen korrigierten Build-Nummern im MSRC Security Update Guide überprüfen.

Umgehung

Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers gefunden; das Einspielen von Updates ist die einzige bestätigte Massnahme.

Ausnutzung

• Nicht bekanntermassen aktiv ausgenutzt.
• Der CNA-Vektor enthält E:U (Reife des Exploit-Codes: Unproven).
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden.

Unsere Empfehlung

• Die Office-Sicherheitsupdates vom November 2026 auf allen Arbeitsplätzen einspielen, zuerst bei Mitarbeitenden, die externe Dokumente bearbeiten.
• Den geschützten Ansicht-Modus für Dateien aus dem Internet und für E-Mail-Anhänge aktiviert lassen.
• Installierte Office-Build-Nummern mit der MSRC-Meldung abgleichen.
• Auf Meldungen zur Ausnutzung und einen Eintrag im CISA-KEV-Katalog achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-110062 msrc.microsoft.com
• CVE Record: CVE-2026-110062 www.cve.org
• Strix: CVE-2026-110062 (third-party, unverified fixed builds) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:42.