Microsoft Office Word: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Word, Bestandteil von Microsoft Office und Microsoft 365 Apps, erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angreifer benötigt dafür, dass ein Opfer ein präpariertes Dokument öffnet oder damit interagiert, meist als E-Mail-Anhang oder Download. Bei erfolgreicher Ausnutzung wären die Vertraulichkeit, Integrität und Verfügbarkeit stark betroffen.

Betroffen

• Microsoft 365 Apps for Enterprise (16.0.1 vor dem im MSRC-Advisory genannten Fix-Build; Fix-Build nicht verifiziert)
• Microsoft Office 365 für Mac (1.0.0 vor 16.115.26110837)
• Microsoft Office LTSC 2021 (16.0.1 vor 16.0.14334.21048)
• Microsoft Office LTSC 2024 (16.0.0 vor 16.0.17932.21140, nicht verifiziert)
• Microsoft Office LTSC für Mac 2021 (16.0.1 vor 16.115.26110837)
• Microsoft Office LTSC für Mac 2024 (16.0.0 vor 16.115.26110837)

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt, im MSRC-Advisory prüfen
• Microsoft Office 365 für Mac: 16.115.26110837
• Microsoft Office LTSC 2021: 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.17932.21140 (aus einer Drittquelle, noch nicht mit MSRC verifiziert)
• Microsoft Office LTSC für Mac 2021 und 2024: 16.115.26110837
• Die Fixes wurden mit den Updates des November-2026-Patch-Tuesday veröffentlicht.

Umgehung

Kein Workaround des Herstellers gefunden. Das Update installieren.

• Geschützte Ansicht aktiviert lassen.
• Dokumentanhänge von unbekannten Absendern blockieren oder in Quarantäne verschieben.
• Office-Nutzung auf Systemen einschränken, die es nicht benötigen.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn für diese CVE.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Die CVSS-Reife des Exploit-Codes ist Unproven (E:U).

Unsere Empfehlung

• Die Office-Updates vom November 2026 im nächsten Wartungsfenster auf allen betroffenen Endgeräten installieren und dies als hohe Priorität behandeln.
• Im MSRC Security Update Guide prüfen, dass die Build-Nummern mindestens den Fix-Versionen entsprechen, insbesondere bei Microsoft 365 Apps und LTSC 2024.
• Mitarbeitende priorisieren, die externe Dokumente bearbeiten, und Geschützte Ansicht sowie Anhangsfilterung durchsetzen.
• Die NVD-Analyse und Änderungen beim Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-112733 msrc.microsoft.com
• CVE.org record CVE-2026-112733 (CNA: Microsoft) www.cve.org
• Strix CVE page CVE-2026-112733 (secondary) www.strix.ai
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
• NTCompatible: Microsoft November 2026 Patch Tuesday www.ntcompatible.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:53.