Microsoft Office Excel: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Office Excel erlaubt einem nicht autorisierten Angreifer, über ein Netzwerk Code auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte Excel-Datei öffnet, etwa eine per E-Mail erhaltene oder von einem Netzlaufwerk heruntergeladene Datei. Ein erfolgreicher Angriff kann zur vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems führen.

Betroffen

• Microsoft 365 Apps for Enterprise (ab 16.0.1, genaue Builds gemäss Microsoft-Release-Seite)
• Microsoft Office 365 für Mac (1.0.0 bis vor 16.115.26110837)
• Office LTSC 2021 (16.0.1 bis vor 16.0.14334.21048)
• Office LTSC 2024 (16.0.0 bis vor 16.0.17932.21140; Version gemäss Drittquelle, noch zu verifizieren)
• Office LTSC für Mac 2021 und 2024 (bis vor 16.115.26110837; gemäss Drittquelle, noch zu verifizieren)
• Office Online Server (bis vor 16.0.10417.20236; gemäss Drittquelle, noch zu verifizieren)

Behoben in

• Microsoft 365 Apps for Enterprise: aktuelle Builds über https://aka.ms/OfficeSecurityReleases (genauer Build unbekannt)
• Office für Mac: 16.115.26110837 oder neuer
• Office LTSC 2021: 16.0.14334.21048 oder neuer
• Office LTSC 2024: 16.0.17932.21140 oder neuer (noch zu verifizieren)
• Office Online Server: 16.0.10417.20236 oder neuer (noch zu verifizieren)

Umgehung

Unbekannt. Es wurde keine Workaround-Empfehlung des Herstellers gefunden; das Sicherheitsupdate ist einzuspielen.

Ausnutzung

• Keine Quelle bestätigt eine Ausnutzung in freier Wildbahn.
• Der CVSS-Vektor enthält E:U (Unproven exploit maturity).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Es wurde kein öffentlicher Proof of Concept gefunden; der Status ist unbekannt, da der NVD-Eintrag noch in Analyse ist.

Unsere Empfehlung

• Betroffene und behobene Builds im MSRC-Advisory prüfen, da die Versionsangaben in den Quellen teilweise widersprüchlich sind.
• Die Office-Sicherheitsupdates vom November 2026 auf allen Endgeräten installieren, einschliesslich LTSC- und Office-für-Mac-Installationen, die oft manuell aktualisiert werden müssen.
• Die Build-Nummern auf jedem Endgerät überprüfen.
• Benutzer schulen, Excel-Dateien von unbekannten Absendern oder unsicheren Freigaben nicht zu öffnen.
• NVD und CISA KEV auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-118298 msrc.microsoft.com
• CVE.org CVE Record: CVE-2026-118298 www.cve.org
• Strix: CVE-2026-118298 www.strix.ai
• threatint: CVE-2026-118298 cve.threatint.com
• Stefan Gossner blog: November 2026 SharePoint and Office security fixes blog.stefan-gossner.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:03.