Microsoft Office Excel: Remote Code Execution durch Double Free

Zusammenfassung

Eine Double-Free-Speicherbeschädigung in Microsoft Office Excel erlaubt einem nicht authentifizierten Angreifer über das Netzwerk, Code auszuführen. Für die Ausnutzung ist eine Benutzerinteraktion nötig, etwa das Öffnen einer präparierten Office-Datei. Bei erfolgreicher Ausnutzung hätte der Angreifer auf dem betroffenen System hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (siehe Office-Sicherheitsseite)
• Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (Sekundärquellen; in unserer Recherche nicht durch den Hersteller bestätigt)
• Office LTSC für Mac 2021 und 2024: vor 16.115.26110837 (Sekundärquellen; in unserer Recherche nicht durch den Hersteller bestätigt)
• Office Online Server: vor 16.0.10417.20236 (Sekundärquellen; in unserer Recherche nicht durch den Hersteller bestätigt)

Behoben in

• Die Korrekturen sind in den Microsoft-Sicherheitsupdates für Office vom November 2026 enthalten.
• Office LTSC 2021: 16.0.14334.21048 oder neuer
• Office 365 für Mac und LTSC für Mac: 16.115.26110837 oder neuer
• Microsoft 365 Apps for Enterprise: korrigierter Build unbekannt; Office-Sicherheitsseite prüfen
• Office Online Server: KB 5002946 (laut Sekundärquelle)

Umgehung

• Unbekannt. Es wurde keine vom Hersteller dokumentierte Zwischenlösung gefunden; das Einspielen des Sicherheitsupdates ist die Korrektur.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn, kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden. Dies ist nicht abschliessend belegt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Die NVD-Analyse steht noch aus, daher kann sich die Bewertung ändern.

Unsere Empfehlung

• Die Office-Sicherheitsupdates vom November 2026 auf allen Microsoft-365-, LTSC- und Mac-Installationen prioritär im regulären Patch-Zyklus einspielen.
• Die automatische Aktualisierung von Microsoft 365 aktiviert lassen und die installierte Version prüfen.
• Prüfen, ob Office Online Server im Einsatz und aus dem Internet erreichbar ist; falls ja, zeitnah patchen.
• E-Mail-Anhänge und heruntergeladene Office-Dateien filtern; Makros und das Öffnen von Dokumenten aus unbekannten Quellen einschränken.
• Auf Berichte über Ausnutzung achten und die Priorität erhöhen, falls Ausnutzung bestätigt wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-118296 www.cve.org
• Microsoft Security Update Guide msrc.microsoft.com
• Cybersecuritynews: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
• Stefan Gossner blog: November 2026 PU blog.stefan-gossner.com
• Strix AI: CVE-2026-118296 www.strix.ai
• ThreatInt: CVE-2026-118296 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:02.