Microsoft Office Word: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution
Zusammenfassung
Ein heap-basierter Pufferüberlauf in Microsoft Office Word erlaubt einem nicht autorisierten Angreifer, Code auszuführen. Der Angriff setzt voraus, dass ein Benutzer ein präpariertes Dokument öffnet, etwa eines, das per E-Mail oder von einer Dateifreigabe stammt. Der CVSS-Basiswert liegt bei 8.8 (hoch), und der Angreifer benötigt keine Berechtigungen.
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 bis zur korrigierten Version (genaue Version: siehe MSRC-Advisory)
- Microsoft Office 365 für Mac: vor 16.115.26110837
- Microsoft Office LTSC 2021: vor 16.0.14334.21048
- Microsoft Office LTSC 2024: vor 16.0.17932.21140 (nicht verifiziert, auf MSRC prüfen)
- Microsoft Office LTSC für Mac 2021 und 2024: vor 16.115.26110837
Behoben in
- Sicherheitsupdates von Microsoft vom November 2026 für Microsoft 365 Apps, Office LTSC und Office für Mac
- Microsoft 365 Apps for Enterprise: korrigierte Version aus den verfügbaren Quellen unbekannt, siehe MSRC-Advisory
- Office LTSC 2024 (Windows): Build-Nummer auf MSRC zu verifizieren
Umgehung
- Kein vom Hersteller dokumentierter Workaround gefunden. Das Einspielen des Patches ist die empfohlene Massnahme.
- Allgemeine Massnahmen: Geschützte Ansicht aktiviert lassen, Anhänge ohne Makros von unbekannten Absendern blockieren oder in einer Sandbox öffnen.
Ausnutzung
- Aktive Ausnutzung: Keine Hinweise gefunden. Aufnahme im CISA-KEV-Katalog nicht geprüft.
- Öffentlicher Proof of Concept: Keiner gefunden.
- Temporaler Score von Microsoft: Reifegrad der Ausnutzung unbewiesen (E:U).
Unsere Empfehlung
- Microsoft 365 Apps, Office LTSC und Office-für-Mac-Clients vorrangig mit den Updates vom November 2026 patchen.
- Die korrigierte Version jedes Produkts im MSRC-Advisory vor dem Rollout bestätigen.
- Geschützte Ansicht aktiviert lassen und Dokumente von unbekannten Absendern einschränken.
- Den CISA-KEV-Katalog auf einen Eintrag zu dieser CVE überwachen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-116720 www.cve.org
- Microsoft Security Update Guide CVE-2026-116720 msrc.microsoft.com
- Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com
- Strix AI CVE-2026-116720 www.strix.ai
- VulDB CVE-2026-116720 (conflicting data) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:38.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.