Microsoft Office Word: Heap-basierter Pufferüberlauf ermöglicht Codeausführung
Zusammenfassung
Ein heap-basierter Pufferüberlauf in Microsoft Office Word erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Voraussetzung ist, dass ein Benutzer ein präpariertes Word-Dokument öffnet oder in der Vorschau anzeigt, was typischerweise per E-Mail oder über eine Dateifreigabe geschieht. Der CVSS-Basiswert beträgt 8.8, und die NVD-Analyse war zum Zeitpunkt der Erfassung noch ausstehend.
Betroffen
- Microsoft 365 Apps for Enterprise (16.0.1 bis zum Build gemäss Microsoft-Release-Seite; genaue Version unbekannt)
- Microsoft Office 365 für Mac: 1.0.0 bis vor 16.115.26110837
- Microsoft Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
- Nicht verifiziert: Microsoft Office LTSC 2024 (vor 16.0.17932.21140) und LTSC für Mac 2021/2024 (vor 16.115.26110837), nur von einem Drittanbieter-Aggregator aufgeführt
Behoben in
- Microsoft Office LTSC 2021: 16.0.14334.21048 oder neuer
- Microsoft Office 365 für Mac: 16.115.26110837 oder neuer
- Microsoft 365 Apps for Enterprise: Unbekannt, siehe MSRC Security Update Guide
- Office LTSC 2024 und LTSC-Editionen für Mac: Unbekannt, nicht verifiziert
Umgehung
Keine Workaround- oder Mitigationsmassnahme bekannt.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Der CVSS-Temporalvektor (E:U) deutet zum Zeitpunkt der Veröffentlichung auf keinen bekannten Exploit-Code hin.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen Sie auf allen Endgeräten den installierten Office-Build und vergleichen Sie ihn mit den oben genannten korrigierten Versionen.
- Spielen Sie die Office-Updates vom November 2026 prioritär ein, zuerst Microsoft 365 Apps und LTSC 2021.
- Verifizieren Sie vor dem Rollout die korrigierte Version für Microsoft 365 Apps sowie die nicht verifizierten Produkte im MSRC Security Update Guide.
- Lassen Sie die Geschützte Ansicht aktiviert und beschränken Sie die Verarbeitung von Makros und Anhängen aus dem Internet.
- Überwachen Sie die Lage auf Ausnutzung und prüfen Sie den Status innerhalb weniger Tage erneut, da es sich um eine frische Veröffentlichung handelt.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-112714 www.cve.org
- Microsoft Security Update Guide CVE-2026-112714 msrc.microsoft.com
- Strix CVE-2026-112714 (aggregator, unverified products) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:04.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.