Microsoft Office Word: Remote Code Execution durch Use-after-free
Zusammenfassung
Microsoft Office Word enthält einen Use-after-free-Speicherfehler (CWE-416), der einem nicht authentifizierten Angreifer über das Netzwerk die Ausführung von Code erlaubt. Der Angreifer benötigt dafür, dass ein Benutzer eine präparierte Word-Datei öffnet, etwa einen E-Mail-Anhang oder einen Download. Der Hersteller und die CISA-SSVC-Bewertung stufen die technische Auswirkung als total ein, aber es wurden weder aktive Ausnutzung noch ein öffentlicher Proof of Concept gefunden.
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 bis zum in der Microsoft-Advisory genannten Fix-Build
- Microsoft Office 365 für Mac: 1.0.0 bis vor 16.115.26110837
- Microsoft Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
- Microsoft Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140
- Microsoft Office LTSC für Mac 2021: 16.0.1 bis vor 16.115.26110837
- Microsoft Office LTSC für Mac 2024: 16.0.0 bis vor 16.115.26110837
Behoben in
- Die Sicherheitsupdates von Microsoft Office vom November 2026 installieren.
- Microsoft 365 Apps for Enterprise: Fix-Build gemäss Microsoft-Release-Seite (https://aka.ms/OfficeSecurityReleases), im CVE-Eintrag nicht angegeben.
- Die oben genannten Build-Nummern stammen aus dem CVE-Eintrag und sollten mit der MSRC-Advisory abgeglichen werden.
Umgehung
In den überprüften Quellen ist kein Workaround dokumentiert. Das Einspielen der Updates ist die Behebung.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: keine gefunden. CISA SSVC führt die Ausnutzung als none.
- Öffentlicher Proof of Concept: keiner gefunden.
- Automatisierbar (CISA SSVC): nein.
- Die Exploitability-Angaben von Microsoft wurden nicht abgerufen.
Unsere Empfehlung
- Die Office-Updates vom November 2026 auf allen betroffenen Systemen installieren, inklusive Microsoft 365 Apps sowie Office-LTSC- und Mac-Installationen.
- Systeme priorisieren, auf denen Mitarbeitende Word-Anhänge von externen Absendern öffnen.
- Bis zum Patch das Öffnen unbekannter Word-Dateien aus E-Mails und Downloads einschränken.
- Die Fix-Build-Nummern in der MSRC-Advisory prüfen, bevor die Patch-Konformität bestätigt wird.
- In der MSRC-FAQ prüfen, ob die Vorschau im Explorer ein Angriffsvektor ist, und die Einstellungen bei Bedarf anpassen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide (MSRC advisory) msrc.microsoft.com
- Aggregator: affected versions and CVSS (Strix) www.strix.ai
- Microsoft November 2026 Patch Tuesday roundup (Cybersecurity News) cybersecuritynews.com
- Patch Tuesday listing with severity (NewsBeep) www.newsbeep.com
- November 2026 security update review (Zero Day Initiative) www.zerodayinitiative.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.