Microsoft Office Excel: Remote Code Execution durch Heap-based Buffer Overflow

Zusammenfassung

Ein Heap-based Buffer Overflow in Microsoft Office Excel erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte Excel-Datei öffnet, zum Beispiel eine per E-Mail erhaltene oder heruntergeladene Datei. Microsoft 365 Apps, Office LTSC, Office für Mac und Office Online Server sind als betroffen aufgeführt.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 vor dem Update-Release unter https://aka.ms/OfficeSecurityReleases
• Microsoft Office 365 für Mac: 1.0.0 bis vor 16.115.26110837
• Microsoft Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140
• Microsoft Office LTSC für Mac 2021: 16.0.1 bis vor 16.115.26110837
• Microsoft Office LTSC für Mac 2024: 16.0.0 bis vor 16.115.26110837
• Microsoft Office Online Server: 16.0.0.0 bis vor 16.0.10417.20236 (gegen MSRC zu prüfen)

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt (korrigierter Build wird in den Quellen nicht genannt; siehe MSRC)
• Microsoft Office 365 für Mac: 16.115.26110837
• Microsoft Office LTSC 2021: 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.17932.21140 (aus Sekundärquellen, zu verifizieren)
• Microsoft Office LTSC für Mac 2021 und 2024: 16.115.26110837
• Microsoft Office Online Server: 16.0.10417.20236

Umgehung

Unbekannt. In den Quellen wird kein Workaround beschrieben.

• Office auf dem Update-Kanal halten
• Unbekannte und makrofreie Excel-Anhänge blockieren oder in einer Sandbox öffnen
• Eingangswege für Excel-Dateien einschränken (E-Mail, Downloads)

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung bekannt.
• Kein öffentlicher Proof of Concept und kein Eintrag im CISA KEV gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• CVSS-Reife des Exploit-Codes: nicht nachgewiesen (E:U).

Unsere Empfehlung

• Microsoft 365 Apps und LTSC-Office-Clients prioritär patchen, idealerweise über das aktuelle Monatsupdate.
• Prüfen, ob Office Online Server oder eine lokale SharePoint-Farm im Einsatz ist, und diese bei Bedarf patchen.
• Betroffene und korrigierte Versionen vor dem Rollout mit dem MSRC-Advisory abgleichen.
• Auf Berichte über Ausnutzung achten und Benutzer bei unerwarteten Excel-Dateien sensibilisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118299 msrc.microsoft.com
• CVE Record CVE-2026-118299 (CVE.org) www.cve.org
• Strix.ai: CVE-2026-118299 www.strix.ai
• Threatint: CVE-2026-118299 cve.threatint.com
• SharePoint security fixes November 2026 PU (Stefan Gossner) blog.stefan-gossner.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:04.