Microsoft Office Word: Informationsoffenlegung durch Out-of-Bounds-Read

Zusammenfassung

Ein Out-of-Bounds-Read in Microsoft Office Word erlaubt einem nicht autorisierten Angreifer über das Netzwerk, Informationen offenzulegen. Die Ausnutzung erfordert, dass ein Benutzer eine präparierte Word-Datei öffnet oder in der Vorschau anzeigt, etwa eine per E-Mail oder Download erhaltene Datei. Microsoft stuft die Schwachstelle als Important ein, und der CVSS-Score bewertet die Auswirkung als hohe Vertraulichkeit ohne Auswirkung auf Integrität oder Verfügbarkeit.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis vor dem fixen Build, der unter https://aka.ms/OfficeSecurityReleases aufgeführt ist
• Office 365 für Mac: 1.0.0 bis vor 16.115.26110837
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140
• Office LTSC für Mac 2021: 16.0.1 bis vor 16.115.26110837
• Office LTSC für Mac 2024: 16.0.0 bis vor 16.115.26110837

Behoben in

• Office 365 für Mac: 16.115.26110837
• Office LTSC 2021: 16.0.14334.21048
• Office LTSC 2024: 16.0.17932.21140
• Office LTSC für Mac 2021 und 2024: 16.115.26110837
• Microsoft 365 Apps for Enterprise: Unbekannt. Der fixe Build ist unter https://aka.ms/OfficeSecurityReleases aufgeführt und dort zu prüfen.

Umgehung

Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround identifiziert. Das Einspielen des Sicherheitsupdates ist die Behebung.

Ausnutzung

• Microsoft gibt an, dass kein öffentlich verfügbarer Exploit-Code existiert oder dass eine Ausnutzung nur theoretisch ist.
• Laut Beschreibung des Microsoft-Advisory ist die Vorschau im Outlook-Lesebereich ein Angriffsvektor.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
• Rapid7 stuft die Ausnutzung als Less Likely ein und meldet keine festgestellte Ausnutzung.
• Es wurden keine Berichte über eine Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Die Office-Sicherheitsupdates vom November 2026 auf allen Endgeräten installieren, inklusive Mac- und LTSC-Installationen, und den installierten Build überprüfen.
• Sicherstellen, dass Office-Updates automatisch installiert werden.
• Geschützte Ansicht und Makro-Einschränkungen aktiviert lassen.
• Die Vorschau im Outlook-Lesebereich für Dokumente einschränken, sofern sie aktiviert ist.
• Das Patchen für Benutzer priorisieren, die regelmässig Dokumente aus E-Mails oder dem Internet öffnen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-111288 msrc.microsoft.com
• CVE Record CVE-2026-111288 www.cve.org
• Microsoft 365 Apps security updates learn.microsoft.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• CVE List V5 release 2026-11-10 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:32.