Microsoft Office Excel: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Excel erlaubt einem Angreifer aus der Ferne, Code auf dem betroffenen System auszuführen. Voraussetzung ist, dass ein Benutzer eine manipulierte Excel-Datei öffnet oder verarbeitet, zum Beispiel eine per E-Mail erhaltene oder aus dem Internet heruntergeladene Datei. Es sind keine Berechtigungen und keine Authentifizierung nötig; CVSS bewertet die Lücke mit 8.8 (hoch). In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn dokumentiert.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum von Microsoft aufgeführten Fix-Build (genauer Build unbekannt)
• Office 365 für Mac: vor 16.115.26110837
• Office LTSC 2021: vor 16.0.14334.21048
• Office LTSC 2024: vor 16.0.17932.21140 (Sekundärquelle, nicht gegen MSRC geprüft)
• Office LTSC für Mac 2021 und 2024: vor 16.115.26110837 (Sekundärquelle, nicht geprüft)
• Office Online Server: vor 16.0.10417.20236 (Sekundärquelle, nicht geprüft)

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt (siehe MSRC-Advisory)
• Office 365 für Mac: 16.115.26110837 oder neuer
• Office LTSC 2021: 16.0.14334.21048 oder neuer
• Office LTSC 2024: 16.0.17932.21140 oder neuer (noch zu verifizieren)
• Office LTSC für Mac 2021 und 2024: 16.115.26110837 oder neuer (noch zu verifizieren)
• Office Online Server: 16.0.10417.20236 oder neuer (noch zu verifizieren)

Umgehung

Unbekannt. In den geprüften Quellen ist kein Workaround des Herstellers dokumentiert.

• Geschützte Ansicht für Dateien aus dem Internet und aus E-Mails bis zur Patchung aktiviert lassen.
• Unbekannte Excel-Anhänge am Mail-Gateway blockieren oder in Quarantäne verschieben.
• Nutzung von Makros und Add-ins wo möglich einschränken.

Ausnutzung

• Eine Ausnutzung in freier Wildbahn ist in den geprüften Quellen nicht bestätigt.
• Es wurde weder ein Eintrag im CISA-KEV-Katalog noch ein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• VulDB nennt einen Schätzpreis im Broker-Markt von USD 5k bis 25k. Dies ist kein Beleg für eine Ausnutzung.

Unsere Empfehlung

• Die MSRC-Advisory für die verbindliche Build-Liste prüfen und alle betroffenen Office-Installationen zeitnah patchen.
• Installierte Builds im Microsoft-365-Admin-Center oder direkt auf den Geräten prüfen.
• Geschützte Ansicht aktiviert lassen und unbekannte Excel-Anhänge bis zur Patchung filtern oder in Quarantäne verschieben.
• Makros und Add-ins wo möglich einschränken.
• Auf ungewöhnliche Excel-Child-Prozesse achten und Benutzer, die E-Mail-Anhänge bearbeiten, priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• CVE.org CNA record (Microsoft) www.cve.org
• VulDB CVE-2026-118705 vuldb.com
• Strix CVE-2026-118705 www.strix.ai
• threatint CVE-2026-118705 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:56.