Microsoft Office Word: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution
Zusammenfassung
Microsoft Office Word enthält einen heap-basierten Pufferüberlauf (CWE-122). Ein nicht autorisierter Angreifer kann dadurch Code aus der Ferne ausführen. Laut Eintrag ist der Angriff netzwerkbasiert und erfordert keine Berechtigungen, wobei eine Benutzerinteraktion nötig ist; typischerweise muss ein Benutzer also ein manipuliertes Dokument öffnen. Der CVSS-3.1-Basiswert beträgt 8.8 (hoch).
Betroffen
- Microsoft 365 Apps for Enterprise: ab 16.0.1 vor dem im Link https://aka.ms/OfficeSecurityReleases aufgeführten Fix-Build
- Office 365 für Mac: ab 1.0.0 vor 16.115.26110837
- Office LTSC 2021: ab 16.0.1 vor 16.0.14334.21048
- Office LTSC 2024: ab 16.0.0, Fix-Build im abgerufenen Eintrag nicht angegeben
- Office LTSC für Mac 2021: ab 16.0.1 vor 16.115.26110837
- Office LTSC für Mac 2024: ab 16.0.0 vor 16.115.26110837
Behoben in
- Office LTSC 2021: 16.0.14334.21048
- Office für Mac und LTSC für Mac: 16.115.26110837
- Microsoft 365 Apps und LTSC 2024: Vom Hersteller im Eintrag nicht bestätigt; eine Drittquelle nennt 16.0.17932.21140 für LTSC 2024, dies ist unverifiziert und muss im MSRC-Advisory geprüft werden
Umgehung
Keine Workaround-Massnahme bekannt. Das Office-Sicherheitsupdate vom November 2026 installieren.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt.
- CVSS-Vektor E:U/RL:O/RC:C: Ausnutzungsreife 'unbewiesen'.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle Office-Clients (Microsoft 365 Click-to-Run, Mac und LTSC) im Update-Zyklus vom November 2026 vorrangig patchen.
- Installierte Build-Nummern nach dem Patchen mit dem MSRC-Advisory abgleichen.
- Falls das Patchen verzögert wird, das Öffnen nicht vertrauenswürdiger Office-Anhänge einschränken.
- Auf Ausnutzungsaktivitäten mit Office-Dokumenten achten.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-116719 msrc.microsoft.com
- CVE.org record CVE-2026-116719 www.cve.org
- Strix CVE-2026-116719 (unverified) www.strix.ai
- Qualys: Microsoft Patch Tuesday November 2026 blog.qualys.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:40.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.