Microsoft Office Excel: Informationsoffenlegung durch Out-of-Bounds-Read

Zusammenfassung

Microsoft Office Excel enthält einen Out-of-Bounds-Read (CWE-125). Ein nicht autorisierter Angreifer kann über das Netzwerk Informationen offenlegen, zum Beispiel Speicherinhalte, wenn ein Benutzer eine präparierte Tabellenkalkulation öffnet. Der CVSS-3.1-Basiswert beträgt 6.5 (Mittel), die Auswirkung beschränkt sich auf die Vertraulichkeit, und Microsoft hat Korrekturen veröffentlicht.

Betroffen

• Microsoft 365 Apps for Enterprise: ab 16.0.1, genauer betroffener Bereich gemäss Microsoft-Advisory
• Office LTSC 2021: ab 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: ab 16.0.0 vor 16.0.17932.21140
• Microsoft Office 365 für Mac und Office LTSC für Mac (2021 und 2024): vor 16.115.26110837
• Office Online Server: vor 16.0.10417.20236 (nicht verifiziert, nicht im CVE-Eintrag aufgeführt)

Behoben in

• Office LTSC 2021: 16.0.14334.21048 oder neuer
• Office LTSC 2024: 16.0.17932.21140 oder neuer
• Office 365 für Mac und Office LTSC für Mac: 16.115.26110837 oder neuer
• Microsoft 365 Apps for Enterprise: korrigierter Build im CVE-Eintrag unbekannt, siehe Microsoft-Advisory
• Office Online Server: nicht verifiziert, siehe Microsoft-Advisory

Umgehung

• Unbekannt. In den geprüften Quellen ist kein Workaround dokumentiert.
• Bis das Update installiert ist, keine unbekannten Office-Anhänge öffnen (eigene Empfehlung, keine Herstelleraussage).

Ausnutzung

• In den geprüften Quellen wurde weder eine Ausnutzung in freier Wildbahn noch ein öffentlicher Proof of Concept gefunden. Der CISA-KEV-Katalog und GitHub wurden nicht direkt geprüft.
• CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact partial.

Unsere Empfehlung

• Die Microsoft-Office-Sicherheitsupdates vom November 2026 für alle Office-Varianten, einschliesslich Mac, im regulären Patch-Zyklus installieren.
• Den installierten Build mit den oben genannten korrigierten Builds vergleichen und den Build von Microsoft 365 Apps im Microsoft-Advisory bestätigen.
• Schnelleres Patchen priorisieren, wo Office zum Öffnen unbekannter Anhänge oder Downloads verwendet wird.
• Die Priorität als mittel einstufen; andere Excel-Schwachstellen mit Remote Code Execution im selben Release haben höhere Priorität.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118300 msrc.microsoft.com
• CVE Record CVE-2026-118300 www.cve.org
• Microsoft 365 Apps security updates learn.microsoft.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• CVE-2026-118300 mirror (threatint) cve.threatint.com
• CVE-2026-118300 mirror (Strix) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:12.