Microsoft Office Excel: Remote Code Execution durch nicht initialisierte Ressource

Zusammenfassung

Eine Verwendung einer nicht initialisierten Ressource in Microsoft Office Excel erlaubt einem nicht autorisierten Angreifer, Code über das Netzwerk auszuführen. Der Angriff erfordert eine Benutzerinteraktion, etwa das Öffnen einer manipulierten Datei, und der CVSS-Vektor bewertet die Angriffskomplexität als hoch. Zum Zeitpunkt der Veröffentlichung ist kein Exploit-Code bekannt, und der genaue Auslöser ist noch nicht bestätigt.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis vor der korrigierten Version (nicht im CVE-Eintrag angegeben)
• Office 365 für Mac: 1.0.0 bis vor 16.115.26110837
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048 (EUVD nennt 16.0.14334.20974, Konflikt ungelöst)
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140 (EUVD nennt 16.0.17932.21056, Konflikt ungelöst)
• Office LTSC für Mac 2021 und 2024: 16.0.0 bis vor 16.115.26110837 (nicht verifiziert)
• Office Online Server: 16.0.0.0 bis vor 16.0.10417.20236

Behoben in

• Office Online Server: Korrektur enthalten in KB 5002946 (laut SharePoint-Blog)
• Andere Produkte: Unbekannt. Die korrigierten Build-Nummern sind im MSRC-Advisory zu prüfen.

Umgehung

Unbekannt. In den geprüften Quellen ist kein Workaround dokumentiert.

Ausnutzung

• Für dieses CVE nicht bestätigt.
• Der CVSS-Temporal-Vektor E:U (Exploit-Code-Reife: unbewiesen) deutet auf keinen bekannten Exploit-Code zum Zeitpunkt der Veröffentlichung hin.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Die Sicherheitsupdates für Office vom November 2026 auf allen Microsoft 365 Apps, Office LTSC und Office für Mac-Clients installieren und die korrigierte Version mit dem MSRC-Advisory abgleichen.
• Prüfen, ob Office Online Server im Einsatz ist, und bei Bedarf KB 5002946 installieren.
• Makros und Dateien aus unsicheren Quellen blockieren oder isolieren und Benutzer warnen, unerwartete Tabellen aus E-Mails oder Links nicht zu öffnen.
• Das MSRC-Advisory auf Aktualisierungen zum Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• CVE Record (CVE Program) www.cve.org
• EUVD record (Vulners) vulners.com
• Strix.ai CVE page www.strix.ai
• SharePoint security fixes November 2026 (Stefan Gossner) blog.stefan-gossner.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:35.