Microsoft Office Word: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution
Zusammenfassung
Ein Heap-basierter Pufferüberlauf (CWE-122) in Microsoft Office Word erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Das Opfer muss ein präpariertes Dokument öffnen, zum Beispiel einen E-Mail-Anhang oder eine heruntergeladene Datei, daher ist eine Benutzerinteraktion erforderlich. Der CVSS-3.1-Basiswert beträgt 8.8 (Hoch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. In den geprüften Quellen wurde keine Ausnutzung festgestellt.
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (genauer Build unbekannt, da der CVE-Eintrag keine gültige Build-Nummer enthält)
- Microsoft Office 365 für Mac: 1.0.0 bis vor 16.115.26110837
- Microsoft Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
- Microsoft Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140
- Microsoft Office LTSC für Mac 2021: 16.0.1 bis vor 16.115.26110837
- Microsoft Office LTSC für Mac 2024: 16.0.0 bis vor 16.115.26110837
Behoben in
- Office LTSC 2021: 16.0.14334.21048
- Office LTSC 2024: 16.0.17932.21140
- Office 365 für Mac und Office LTSC für Mac 2021/2024: 16.115.26110837
- Microsoft 365 Apps for Enterprise: Unbekannt; im MSRC Security Update Guide prüfen
Umgehung
Unbekannt. In den geprüften Quellen wurde kein Workaround des Herstellers gefunden. Die MSRC-Seite auf Massnahmen prüfen.
- Geschützte Ansicht für Dateien aus dem Internet oder aus E-Mails aktiviert lassen (allgemeine Massnahme, für diese CVE nicht bestätigt).
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Status im CISA KEV: Unbekannt; direkt im Katalog prüfen.
Unsere Empfehlung
- Den MSRC Security Update Guide prüfen und den korrigierten Build für jeden verwendeten Office-Kanal bestätigen.
- Die Office-Updates vom November 2026 auf allen Word-Installationen einspielen, zuerst bei Benutzern, die E-Mail-Anhänge und externe Dokumente bearbeiten.
- Geschützte Ansicht aktiviert lassen und die Office-Build-Nummern im Inventar erfassen.
- CISA KEV und Herstellerstatus innerhalb von 48 Stunden erneut prüfen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide (listed reference, not retrieved) msrc.microsoft.com
- strix.ai CVE-2026-112717 (third-party, unverified) www.strix.ai
- Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:05.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.