Microsoft Office Excel: Remote Code Execution durch Stack-based Buffer Overflow

Zusammenfassung

Ein Stack-based Buffer Overflow in Microsoft Office Excel erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angreifer benötigt keine Berechtigungen, eine Benutzerinteraktion ist jedoch nötig, typischerweise das Öffnen einer manipulierten Excel-Datei aus einer E-Mail oder einer Freigabe. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des betroffenen Systems führen.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 vor dem korrigierten Build (siehe Microsoft-Advisory)
• Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140
• Office LTSC für Mac 2021 und 2024: 16.0.x vor 16.115.26110837
• Office Online Server: 16.0.0.0 vor 16.0.10417.20236

Behoben in

• Microsoft 365 Apps for Enterprise: Korrigierter Build in den Quellen nicht angegeben; siehe aka.ms/OfficeSecurityReleases
• Office 365 für Mac und LTSC für Mac: 16.115.26110837
• Office LTSC 2021: 16.0.14334.21048
• Office LTSC 2024: 16.0.17932.21140 (Sekundärquelle, bei MSRC prüfen)
• Office Online Server: 16.0.10417.20236 (Sekundärquelle, bei MSRC prüfen)

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden; das Sicherheitsupdate ist einzuspielen. Der geschützte Ansicht-Modus und die Blockierung von Anhängen sollten als allgemeine bewährte Praxis aktiviert bleiben.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn gemeldet; kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Reifegrad des Exploit-Codes: Unproven (E:U).

Unsere Empfehlung

• Das Microsoft-Sicherheitsupdate vom November 2026 auf allen betroffenen Office-Installationen einspielen; Office Online Server priorisieren, falls er aus dem Internet erreichbar ist.
• Korrigierte Builds im MSRC-Advisory vor dem Rollout verifizieren.
• Prüfen, ob Office Online Server eingesetzt wird.
• Benutzer anweisen, Excel-Dateien von unbekannten Absendern nicht zu öffnen, und auf verdächtige Excel-Aktivitäten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118704 msrc.microsoft.com
• CVE Record CVE-2026-118704 www.cve.org
• Strix AI: CVE-2026-118704 www.strix.ai
• ThreatInt: CVE-2026-118704 cve.threatint.com
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:55.