Microsoft Office Word: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Word erlaubt einem nicht autorisierten Angreifer, remote Code auszuführen. Eine Benutzerinteraktion ist nötig, der Benutzer muss also ein präpariertes Dokument öffnen, typischerweise ein E-Mail-Anhang oder ein Download. CVSS 3.1 bewertet die Schwachstelle mit 8.8 (hoch). Microsoft hat zum Zeitpunkt der Veröffentlichung keine bekannte Ausnutzung gemeldet.

Betroffen

• Microsoft 365 Apps for Enterprise (32-Bit und x64): ab 16.0.1, vor dem korrigierten Build (im CNA-Eintrag nicht angegeben)
• Microsoft Office 365 für Mac: ab 1.0.0, vor 16.115.26110837
• Microsoft Office LTSC 2021: ab 16.0.1, vor 16.0.14334.21048
• Microsoft Office LTSC 2024: ab 16.0.0, vor 16.0.17932.21140 (Angabe eines Drittanbieters, unverifiziert)
• Microsoft Office LTSC für Mac 2021: ab 16.0.1, vor 16.115.26110837
• Microsoft Office LTSC für Mac 2024: ab 16.0.0, vor 16.115.26110837

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt.
• Office 365 für Mac sowie LTSC für Mac 2021/2024: 16.115.26110837 (gemäss CNA-Eintrag)
• Office LTSC 2021: 16.0.14334.21048 (gemäss CNA-Eintrag)
• Office LTSC 2024: 16.0.17932.21140 (Drittanbieter, unverifiziert)

Umgehung

• Unbekannt. Es ist kein Workaround des Herstellers dokumentiert.
• Bis zum Patch Office-Updates auf den Kanal des Herstellers beschränken und Word-Dokumente von unbekannten Absendern blockieren oder in Quarantäne stellen.

Ausnutzung

• Microsoft stuft die Reife des Exploit-Codes zum Zeitpunkt der Veröffentlichung als Unproven (E:U) ein.
• Es wurden keine Berichte über Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden.
• Status im CISA-KEV-Katalog: nicht bestätigt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Prüfen, welchen Office-Kanal und welchen Build jeder Client verwendet (Microsoft 365 Apps, Mac, LTSC 2021/2024).
• Korrigierte Builds vor dem Rollout auf der Microsoft Security Update Guide Seite verifizieren, insbesondere für Microsoft 365 Apps und LTSC 2024.
• Microsoft 365/Office-Clients im nächsten regulären Update-Zyklus patchen, bei beobachteten Phishing-Angriffen mit Office-Anhängen früher.
• Benutzer warnen, Word-Dokumente von unbekannten Absendern nicht zu öffnen, und auf verdächtige Dokumentanhänge achten.
• Den CISA-KEV-Katalog und die NVD erneut prüfen, da dort noch die Analyse ausstehend angezeigt wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-112726 msrc.microsoft.com
• CVE Record: CVE-2026-112726 www.cve.org
• Strix AI: CVE-2026-112726 (third-party) www.strix.ai
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
• Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:55.