Microsoft Excel: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Excel, Teil von Microsoft Office und Microsoft 365 Apps, erlaubt einem nicht autorisierten Angreifer, Code über das Netzwerk auszuführen. Voraussetzung ist, dass ein Benutzer eine manipulierte Datei öffnet, typischerweise einen E-Mail-Anhang oder eine über einen Link heruntergeladene Datei. Es sind keine Berechtigungen nötig, und bisher wurde keine Ausnutzung gemeldet.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis vor dem unter aka.ms/OfficeSecurityReleases aufgeführten Update
• Office 365 für Mac: 1.0.0 bis vor 16.115.26110837
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140
• Office LTSC für Mac 2021 und 2024: 16.0.1 bis vor 16.115.26110837
• Office Online Server: 16.0.0.0 bis vor 16.0.10417.20236

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt aus den Quellen; Microsoft-Advisory und Update-Link aka.ms/OfficeSecurityReleases prüfen
• Office 365 für Mac und Office LTSC für Mac: 16.115.26110837 oder neuer
• Office LTSC 2021: 16.0.14334.21048 oder neuer
• Office LTSC 2024: 16.0.17932.21140 oder neuer
• Office Online Server: 16.0.10417.20236 oder neuer

Umgehung

Unbekannt. Es konnte keine dokumentierte Umgehungsmassnahme verifiziert werden. Geschützte Ansicht und das Blockieren aus dem Internet stammender Dateien als zusätzliche Schutzebene aktiviert lassen.

Ausnutzung

• Es wurde keine Ausnutzung gemeldet. CISA SSVC führt die Ausnutzung als none.
• Die Reife des Exploit-Codes im CVE-Eintrag ist unbewiesen (E:U).
• Kein öffentlicher Proof-of-Concept gefunden.
• Kein Eintrag im CISA KEV gefunden.
• Die aktiv ausgenutzte Outlook-Schwachstelle vom November 2026 ist CVE-2026-124194, nicht diese CVE.

Unsere Empfehlung

• Excel- und Office-Versionen sowie Update-Kanäle inventarisieren, einschliesslich Mac- und LTSC-Systeme.
• Updates vom November 2026 installieren und die installierten Builds mit dem Microsoft Security Update Guide abgleichen.
• Prüfen, ob Updates für LTSC für Mac verzögert sind, und diese manuell verifizieren.
• Schutz beim Öffnen von Office-Dateien aktiviert lassen und Mitarbeitende für unerwartete Excel-Anhänge und Links sensibilisieren.
• Auf verdächtige untergeordnete Office-Prozesse und unerwartete Datei-Downloads achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118302 msrc.microsoft.com
• CVE Record CVE-2026-118302 www.cve.org
• Strix: CVE-2026-118302 www.strix.ai
• Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:05.