Microsoft Office Excel: Use-after-free führt zu Remote Code Execution

Zusammenfassung

Microsoft Office Excel enthält eine Use-after-free-Schwachstelle (CWE-416), die es einem nicht autorisierten Angreifer erlaubt, über das Netzwerk Code auszuführen. Betroffen sind Microsoft 365 Apps for Enterprise, Office LTSC 2021 und 2024, Office für Mac, Office LTSC für Mac 2021 und 2024 sowie Office Online Server. Der Angriff erfordert, dass ein Benutzer eine präparierte Datei öffnet (UI:R), es sind jedoch keine Berechtigungen nötig (PR:N), sodass ein externer Absender den Angriff auslösen kann. Microsoft stuft die Lücke als Important ein, der CVSS-3.1-Basiswert beträgt 8.8.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum fixen Build, der auf https://aka.ms/OfficeSecurityReleases aufgeführt ist
• Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (unverifiziert)
• Office LTSC für Mac 2021: 16.0.1 vor 16.115.26110837
• Office LTSC für Mac 2024: 16.0.0 vor 16.115.26110837
• Office Online Server: 16.0.0.0 vor 16.0.10417.20236 (unverifiziert)

Behoben in

• Office 365 für Mac und Office LTSC für Mac: 16.115.26110837
• Office LTSC 2021: 16.0.14334.21048
• Office LTSC 2024: 16.0.17932.21140 (unverifiziert)
• Microsoft 365 Apps for Enterprise: fixer Build nicht im CVE-Eintrag angegeben; siehe Seite der Office-Sicherheitsupdates
• Office Online Server: 16.0.10417.20236 (unverifiziert)

Umgehung

Unbekannt.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Keine Hinweise gefunden, dass diese CVE aktiv ausgenutzt wird
• Kein öffentlicher Proof of Concept gefunden

Unsere Empfehlung

• Die Office-Sicherheitsupdates vom November 2026 auf allen betroffenen Office-Installationen einspielen
• Die fixen Build-Nummern im MSRC-Advisory und auf der Seite der Office-Sicherheitsupdates bestätigen
• Prüfen, ob Office LTSC 2021/2024 und Office Online Server separate Updates benötigen
• Bis zur Installation Excel-Dateien von unbekannten Absendern mit Vorsicht behandeln und den geschützten Ansicht-Modus aktiviert lassen
• Auf Berichte zur Ausnutzung achten und die Priorität bei einer Statusänderung anpassen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide msrc.microsoft.com
• CVE.org CVE Record www.cve.org
• Microsoft Patch Tuesday coverage (BleepingComputer) www.bleepingcomputer.com
• Microsoft November 2026 Patch Tuesday (CyberSecurityNews) cybersecuritynews.com
• CVE threat intel summary cve.threatint.com
• Strix CVE-2026-118703 (aggregator, unverified versions) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:02.