Microsoft Office Word: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Office Word erlaubt einem nicht autorisierten Angreifer, über ein Netzwerk Code auszuführen. Es sind keine Berechtigungen erforderlich, das Opfer muss jedoch ein präpariertes Dokument öffnen, etwa eines, das per Phishing-E-Mail oder als schädlicher Anhang zugestellt wird. Eine erfolgreiche Ausnutzung würde dem Angreifer die Codeausführung im Kontext des Benutzers ermöglichen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum fixierten Build (siehe MSRC)
• Office LTSC 2021: 16.0.1 bis 16.0.14334.21048 (exklusive)
• Office LTSC 2024: 16.0.0 bis 16.0.17932.21140 (exklusive)
• Office 365 für Mac: 1.0.0 bis 16.115.26110837 (exklusive)
• Office LTSC für Mac 2021: 16.0.1 bis 16.115.26110837 (exklusive)
• Office LTSC für Mac 2024: 16.0.0 bis 16.115.26110837 (exklusive)

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt, bitte bei MSRC prüfen
• Office LTSC 2021: 16.0.14334.21048
• Office LTSC 2024: 16.0.17932.21140
• Office 365 für Mac und Office LTSC für Mac: 16.115.26110837
• Alle Builds vor dem Rollout auf MSRC verifizieren

Umgehung

Unbekannt. Es wurde keine Workaround des Herstellers gefunden.

• Bis zur Behebung untrusted Office-Dateien aus E-Mails und Downloads einschränken oder in einer Sandbox öffnen.
• Automatische Updates für Microsoft 365 aktiviert lassen.
• Dies ist allgemeine Härtungsempfehlung und keine dokumentierte Massnahme für diese CVE.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• In unserer Recherche nicht im CISA-KEV-Katalog gefunden; der Katalog wurde nicht direkt geprüft.
• Die temporalen CVSS-Metriken (E:U) deuten darauf hin, dass zum Zeitpunkt der Veröffentlichung kein bekannter Exploit-Code existiert.

Unsere Empfehlung

• Die behobenen Builds je Kanal auf MSRC bestätigen und das Update auf allen Microsoft-365-, LTSC- und Mac-Installationen einspielen.
• Mac- und LTSC-Installationen priorisieren, da diese in der Regel manuell oder verwaltet aktualisiert werden müssen.
• Office-Versionen in der eigenen Umgebung inventarisieren und deren Patchstand prüfen.
• Nicht vertrauenswürdige Anhänge einschränken und auf KEV- oder Proof-of-Concept-Meldungen achten, da der NVD-Status noch Awaiting Analysis lautete.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• CVE.org record CVE-2026-112741 www.cve.org
• Strix mirror CVE-2026-112741 www.strix.ai
• Qualys Patch Tuesday review November 2026 blog.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:52.