Microsoft Office Word: Schwachstelle für Remote Code Execution
Zusammenfassung
In Microsoft Word besteht eine Schwachstelle durch einen numerischen Abschneidefehler, die Microsoft als Remote Code Execution einstuft. Ein nicht authentifizierter Angreifer kann Code auf dem System eines Opfers ausführen, wenn der Benutzer ein manipuliertes Dokument öffnet, etwa eines aus einer E-Mail oder einem Download. Der CVSS-3.1-Basiswert beträgt 8.8, und eine Benutzerinteraktion ist erforderlich.
Betroffen
- Microsoft 365 Apps for Enterprise (Windows): 16.0.1 bis zum korrigierten Build (genauer korrigierter Build unbekannt)
- Microsoft Office 365 für Mac: 1.0.0 bis < 16.115.26110837
- Office LTSC 2021: 16.0.1 bis < 16.0.14334.21048
- Office LTSC 2024: 16.0.0 bis < 16.0.17932.21140
- Office LTSC für Mac 2021: 16.0.1 bis < 16.115.26110837
- Office LTSC für Mac 2024: 16.0.0 bis < 16.115.26110837
Behoben in
- Office LTSC 2021: 16.0.14334.21048
- Office LTSC 2024: 16.0.17932.21140 (von einem Drittanbieter-Aggregator, nicht gegen den CVE-Eintrag bestätigt)
- Office 365 für Mac, Office LTSC für Mac 2021 und 2024: 16.115.26110837
- Microsoft 365 Apps for Enterprise: Unbekannt; siehe Microsoft Security Update Guide
Umgehung
- Unbekannt. In den geprüften Quellen ist keine Gegenmassnahme dokumentiert.
- Bis zum Patch bei unerwarteten Word-Dateien aus E-Mails oder Downloads vorsichtig sein und die geschützte Ansicht aktiviert lassen. Dies ist allgemeine Empfehlung und nicht verifiziert, ob sie diese Schwachstelle verhindert.
Ausnutzung
- In den geprüften Quellen wird keine Ausnutzung dieser CVE gemeldet.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Es wurde kein öffentlicher Proof of Concept und kein Exploit-Modul gefunden.
Unsere Empfehlung
- Die Microsoft-Office-Sicherheitsupdates für alle betroffenen Produkte vorrangig installieren, zuerst für Benutzer, die externe Dokumente öffnen.
- Im Microsoft Security Update Guide den genauen korrigierten Build von Microsoft 365 Apps for Enterprise prüfen.
- Die korrigierte Version von Office LTSC 2024 anhand der Microsoft-Warnmeldung verifizieren, da sie derzeit nur durch einen Aggregator bestätigt ist.
- Die Einträge in NVD und CISA KEV überwachen, da sich CVSS, CWE und Ausnutzungsstatus noch ändern können.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE.org CNA record www.cve.org
- Microsoft Security Update Guide msrc.microsoft.com
- Strix CVE-2026-111308 www.strix.ai
- Qualys Patch Tuesday review November 2026 blog.qualys.com
- Tenable Patch Tuesday November 2026 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:08.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.