Microsoft Office Excel: Out-of-Bounds-Read führt zu Informationsoffenlegung
Zusammenfassung
Ein Out-of-Bounds-Read in Microsoft Office Excel erlaubt einem nicht autorisierten Angreifer über das Netzwerk, Informationen offenzulegen. Laut Microsoft könnte ein Angreifer kleine Teile des Stack-Speichers auslesen. Eine Benutzerinteraktion ist erforderlich, etwa durch das Öffnen einer präparierten Datei, und die Auswirkungen beschränken sich auf die Vertraulichkeit.
Betroffen
- Microsoft 365 Apps for Enterprise (Versionsbereiche nicht bestätigt, siehe Empfehlung)
- Microsoft Office 365 für Mac: Versionen 1.0.0 bis vor 16.115.26110837
- Microsoft Office LTSC 2021: Versionen 16.0.1 bis vor 16.0.14334.21048
- Microsoft Office LTSC 2024: Versionsbereiche nicht bestätigt (eine Drittquelle nennt 16.0.0 bis vor 16.0.17932.21140)
- Microsoft Office LTSC für Mac 2021 und 2024: Versionen vor 16.115.26110837 (nicht bestätigt)
Behoben in
- Sicherheitsupdates veröffentlicht am 10. November 2026 (gemäss Microsoft-Versionshinweisen)
- Office LTSC 2021: 16.0.14334.21048 (Drittquelle, nicht bestätigt)
- Office LTSC 2024: 16.0.17932.21140 (Drittquelle, nicht bestätigt)
- Office für Mac und LTSC für Mac: 16.115.26110837 (MSRC-Seite, pro Produkt nicht bestätigt)
Umgehung
Unbekannt.
Ausnutzung
- Kein öffentlicher Exploit-Code bekannt und keine Ausnutzung durch Microsoft gemeldet, Stand der geprüften Quellen.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
Unsere Empfehlung
- Die Sicherheitsupdates für Office vom 10. November 2026 auf allen Clients von Microsoft 365 und Office LTSC installieren.
- Die gepatchte Build-Nummer pro Produkt auf der MSRC-Seite prüfen, bevor Versionsnummern verwendet werden, da die Quellen uneinheitlich sind.
- Bis zur Installation den geschützten Modus (Protected View) aktiviert lassen und Excel-Dateien von unbekannten Absendern nicht öffnen.
- Änderungen beim Ausnutzungsstatus und der CVSS-Bewertung beobachten.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide (CVE-2026-111292) msrc.microsoft.com
- CVE Record (CNA) www.cve.org
- Microsoft 365 Apps security updates (release notes) learn.microsoft.com
- Zero Day Initiative November 2026 security update review www.zerodayinitiative.com
- Rapid7 Patch Tuesday November 2026 www.rapid7.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:31.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.