Microsoft Office Word: Remote Code Execution durch Heap-based Buffer Overflow
Zusammenfassung
Ein Heap-based Buffer Overflow in Microsoft Word, das Teil von Microsoft 365 Apps, Office LTSC und Office für Mac ist, erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der Angriff erfordert eine Aktion des Opfers, zum Beispiel das Öffnen eines präparierten Word-Dokuments aus einer E-Mail oder einem Download. Der CVSS-3.1-Basiswert beträgt 8.8 (hoch). CISA SSVC bewertet die Ausnutzung als nicht vorhanden und die Automatisierbarkeit als nein.
Betroffen
- Microsoft 365 Apps for Enterprise (32-Bit und x64): ab 16.0.1 bis zum von Microsoft angegebenen korrigierten Build
- Office für Mac 365: ab 1.0.0 vor 16.115.26110837
- Office LTSC 2021 (32-Bit und x64): ab 16.0.1 vor 16.0.14334.21048
- Office LTSC 2024: als betroffen ab 16.0.0 aufgeführt; genauer korrigierter Build nicht bestätigt
- Office LTSC für Mac 2021 und 2024: vor 16.115.26110837
Behoben in
- Microsoft 365 Apps for Enterprise: Unbekannt (siehe MSRC-Advisory)
- Office LTSC 2021: 16.0.14334.21048 (CVE-Eintrag)
- Office LTSC 2024: Unbekannt (Drittquellen nennen 16.0.17932.21140, nicht verifiziert)
- Office für Mac und LTSC für Mac: 16.115.26110837 (CVE-Eintrag)
Umgehung
Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Das November-2026-Sicherheitsupdate für Microsoft 365 und Office installieren.
Ausnutzung
- Es wurde kein Hinweis auf eine Ausnutzung in freier Wildbahn gefunden.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- Microsoft hat diese Schwachstelle im Patch Tuesday vom November 2026 geschlossen.
Unsere Empfehlung
- Das Sicherheitsupdate vom November 2026 auf allen Microsoft-365-, Office-LTSC- und Office-für-Mac-Installationen einspielen und den installierten Build prüfen.
- Benutzer mit E-Mail-Zugriff und LTSC-Installationen priorisieren, da diese oft seltener aktualisiert werden.
- Das MSRC-Advisory für die genauen korrigierten Builds prüfen, insbesondere für Microsoft 365 und LTSC 2024.
- Auf Phishing mit Office-Anhängen achten und Anhangsfilterung in Betracht ziehen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center advisory CVE-2026-111294 msrc.microsoft.com
- CVE.org record CVE-2026-111294 www.cve.org
- Strix CVE-2026-111294 details www.strix.ai
- Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com
- Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
- Rescana: Microsoft Patch Tuesday November 2026 www.rescana.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.