Microsoft Office Excel: Lesezugriff ausserhalb des Speicherbereichs ermöglicht Remote Code Execution

Zusammenfassung

Microsoft Office Excel enthält eine Schwachstelle durch einen Lesezugriff ausserhalb des Speicherbereichs (CWE-125, CWE-191), die es einem nicht autorisierten Angreifer erlaubt, über das Netzwerk Code auszuführen. Gemäss CVSS-Vektor (AV:N/PR:N/UI:R) sind keine Berechtigungen nötig, doch ein Benutzer muss mitwirken, typischerweise durch das Öffnen einer präparierten Tabelle aus E-Mail oder einer Dateifreigabe. Microsoft ist der CNA, und die Analyse durch die NVD war bei der Veröffentlichung des Eintrags noch ausstehend.

Betroffen

• Microsoft 365 Apps for Enterprise: ab 16.0.1, vor dem Build auf der Release-Seite von Microsoft (aka.ms/OfficeSecurityReleases)
• Office 365 für Mac: ab 1.0.0, vor 16.115.26110837
• Office LTSC 2021: ab 16.0.1, vor 16.0.14334.21048
• Office LTSC 2024: vor 16.0.17932.21140 (Daten von Aggregatoren, nicht verifiziert)
• Office LTSC für Mac 2021: ab 16.0.1, vor 16.115.26110837
• Office LTSC für Mac 2024: ab 16.0.0, vor 16.115.26110837
• Office Online Server: vor 16.0.10417.20236 (wahrscheinlich betroffen, nicht durch MSRC bestätigt)

Behoben in

• Office 365 für Mac: 16.115.26110837 (gemäss CNA-Eintrag)
• Office LTSC für Mac 2021 und 2024: 16.115.26110837 (gemäss CNA-Eintrag)
• Office LTSC 2021: 16.0.14334.21048 (gemäss CNA-Eintrag)
• Office LTSC 2024: 16.0.17932.21140 (nicht gegen MSRC verifiziert)
• Microsoft 365 Apps for Enterprise: aktueller Build gemäss Release-Seite von Microsoft
• Office Online Server: Unbekannt

Umgehung

Unbekannt.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
• Microsoft-Kennzeichnung "Exploited" nicht gefunden
• Kein öffentlicher Proof-of-Concept gefunden

Unsere Empfehlung

• Die Sicherheitsupdates für Office vom November 2026 auf allen betroffenen Office-Installationen einspielen, mit Priorität auf Office Online Server und Geräte, die regelmässig externe Tabellen öffnen
• Build-Nummern vor dem Rollout mit dem MSRC-Advisory abgleichen
• Das Öffnen von Tabellen aus unbekannten E-Mails und Dateifreigaben einschränken oder in einer Sandbox ausführen
• Prüfen, ob Office Online Server eingesetzt und im Internet veröffentlicht ist
• Auf Hinweise für Ausnutzung und Aktualisierungen des NVD-Eintrags achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• CVE Record (CVE.org, Microsoft CNA) www.cve.org
• Strix AI CVE entry www.strix.ai
• ThreatInt CVE entry cve.threatint.com
• Stefan Gossner: SharePoint security fixes, November 2026 PU blog.stefan-gossner.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:06.