Microsoft Office Word: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Word erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angriff erfordert, dass ein Benutzer eine Aktion ausführt, am wahrscheinlichsten das Öffnen einer präparierten Word-Datei, die per E-Mail oder Download eingegangen ist. Der CVSS-Basiswert beträgt 8.8 (HOCH), und die temporalen Metriken von Microsoft zeigen, dass die Reife des Exploit-Codes unbewiesen ist.

Betroffen

• Microsoft 365 Apps for Enterprise (32-Bit und x64): ab 16.0.1, korrigierter Build muss auf der MSRC-Seite bestätigt werden
• Office LTSC 2021: ab 16.0.1 vor 16.0.14334.21048
• Office 365 für Mac: ab 1.0.0 vor 16.115.26110837
• Office LTSC 2024: ab 16.0.0, korrigierter Build nicht verifiziert (Drittquelle: 16.0.17932.21140)
• Office LTSC für Mac 2021 und 2024: ab 16.0.0 bzw. 16.0.1, korrigierter Build nicht verifiziert (Drittquelle: 16.115.26110837)

Behoben in

• Office LTSC 2021: 16.0.14334.21048 und neuer
• Office 365 für Mac: 16.115.26110837 und neuer
• Microsoft 365 Apps for Enterprise: siehe Microsoft-Releaseseite (https://aka.ms/OfficeSecurityReleases); Build-Nummer unbekannt
• Office LTSC 2024 und LTSC für Mac: nicht verifiziert, auf MSRC prüfen

Umgehung

• Unbekannt. Es wurde keine vom Hersteller veröffentlichte Massnahme speziell für diese CVE gefunden. Die Installation des Updates ist die empfohlene Behebung.
• Übergangsmassnahmen (eigene Empfehlung): Geschützte Ansicht für Dateien aus dem Internet und per E-Mail aktiviert lassen; Office-Anhänge von unbekannten Absendern blockieren oder in Quarantäne verschieben; Attack-Surface-Reduction-Regeln anwenden, die verhindern, dass Office-Anwendungen Kindprozesse erzeugen.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung wurde keine Ausnutzung in freier Wildbahn gefunden.
• Kein Eintrag im CISA-KEV-Katalog und kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Dies beschreibt den Stand bei der Veröffentlichung und ist kein bestätigtes Ausbleiben.

Unsere Empfehlung

• Alle Office-Installationen und deren Kanäle inventarisieren (Microsoft 365 Apps, LTSC 2021/2024, Mac).
• Korrigierte Build-Nummern auf der MSRC-Advisory-Seite bestätigen und das Update im üblichen Patch-Zyklus einspielen.
• Bis zur Behebung das Öffnen von Word-Dateien unbekannter Absender einschränken und die Geschützte Ansicht aktiviert lassen.
• Auf einen Eintrag im CISA-KEV-Katalog oder öffentlichen Exploit-Code achten und die Priorität bei Bekanntwerden erhöhen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-112719 msrc.microsoft.com
• CVE.org CVE Record CVE-2026-112719 www.cve.org
• Strix AI: CVE-2026-112719 (third-party, unverified) www.strix.ai
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:58.