Microsoft Office Word: Remote Code Execution durch Heap-basierten Pufferüberlauf
Zusammenfassung
Ein Heap-basierter Pufferüberlauf in Microsoft Office Word erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auf einem verwundbaren System auszuführen. Der Angriff erfordert eine Benutzerinteraktion, typischerweise das Öffnen eines präparierten Dokuments aus einer E-Mail oder einem Datei-Download, jedoch keine Berechtigungen. Der CVSS-3.1-Basiswert beträgt 8.8 (hoch).
Betroffen
- Microsoft 365 Apps for Enterprise (16.0.1 bis zur im MSRC-Advisory genannten korrigierten Version)
- Microsoft Office 365 für Mac (1.0.0 vor 16.115.26110837)
- Microsoft Office LTSC 2021 (16.0.1 vor 16.0.14334.21048)
- Microsoft Office LTSC 2024 (16.0.0 vor der korrigierten Version; Unbekannt laut Microsoft-Eintrag)
- Microsoft Office LTSC für Mac 2021 (16.0.1 vor 16.115.26110837)
- Microsoft Office LTSC für Mac 2024 (16.0.0 vor 16.115.26110837)
Behoben in
- Microsoft 365 Apps for Enterprise: Unbekannt; siehe MSRC-Advisory
- Office 365 für Mac: 16.115.26110837
- Office LTSC 2021: 16.0.14334.21048
- Office LTSC 2024: Unbekannt laut Microsoft-Quellen (eine Drittquelle nennt 16.0.17932.21140, nicht bestätigt)
- Office LTSC für Mac 2021 und 2024: 16.115.26110837
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden; das Sicherheitsupdate ist einzuspielen.
Ausnutzung
- Zum Zeitpunkt der Veröffentlichung gibt es keine Hinweise auf eine Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden; der CVSS-Exploit-Code-Maturity-Wert ist Unproven (E:U).
- CISA SSVC: Ausnutzung none, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Installierte Office-Versionen auf allen Systemen mit dem MSRC-Advisory abgleichen und die Sicherheitsupdates vom November 2026 installieren.
- Mitarbeitende priorisieren, die externe Dokumente öffnen, und den Status der automatischen Updates von Microsoft 365 prüfen.
- Office-LTSC- und Mac-Installationen manuell aktualisieren, da diese in der Regel nicht automatisch aktualisiert werden.
- Filterung von E-Mail-Anhängen und Virenprüfung von Downloads aktiviert lassen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE.org record (Microsoft CNA) www.cve.org
- MSRC Security Update Guide msrc.microsoft.com
- Strix aggregator (secondary) www.strix.ai
- Cryptika Patch Tuesday summary www.cryptika.com
- Tenable Patch Tuesday summary www.tenable.com
- Qualys Patch Tuesday review blog.qualys.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:04.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.