Microsoft Office Excel: Use-after-free führt zu Remote Code Execution

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in Microsoft Office Excel erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Dazu muss ein Benutzer eine präparierte Tabellenkalkulation öffnen, zum Beispiel eine per E-Mail erhaltene oder aus dem Internet heruntergeladene Datei. Der CVSS-Basiswert beträgt 8.8 (hoch), und der CVE-Eintrag beschreibt einen netzwerkbasierten Angriff, für den keine Berechtigungen nötig sind.

Betroffen

• Microsoft 365 Apps for Enterprise (ab 16.0.1 bis zum Build, der im Office-Sicherheitsupdate behoben ist)
• Office LTSC 2021 (ab 16.0.1 bis vor 16.0.14334.21048)
• Office LTSC 2024 (ab 16.0.0 bis vor 16.0.17932.21140, vorläufig)
• Office für Mac (ab 1.0.0 bis vor 16.115.26110837)
• Office LTSC für Mac 2021 und 2024 (ab 16.0.0 oder 16.0.1 bis vor 16.115.26110837)
• Office Online Server (ab 16.0.0.0 bis vor 16.0.10417.20236, vorläufig)

Behoben in

• Office für Mac und Office LTSC für Mac: 16.115.26110837 oder höher
• Office LTSC 2021: 16.0.14334.21048 oder höher
• Office LTSC 2024: 16.0.17932.21140 oder höher (Sekundärquelle, noch nicht verifiziert)
• Office Online Server: 16.0.10417.20236 oder höher (Sekundärquelle, noch nicht verifiziert)
• Microsoft 365 Apps for Enterprise: Unbekannt. Der CVE-Eintrag nennt den behobenen Build nicht; Angaben im Microsoft Security Update Guide prüfen.

Umgehung

Unbekannt. In den geprüften Quellen ist kein Workaround dokumentiert. Stattdessen das Microsoft-Sicherheitsupdate installieren.

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• Ob CISA diese CVE im Katalog Known Exploited Vulnerabilities führt, ist unbekannt; bitte direkt prüfen.

Unsere Empfehlung

• Das Microsoft-Office-Sicherheitsupdate für Ihren Update-Kanal im regulären monatlichen Zyklus installieren; Mitarbeitende, die externe Tabellen öffnen, etwa in Finanz, Personal und Empfang, zuerst berücksichtigen.
• Bis zum Patch den Geschützten Modus aktiviert lassen, Makros einschränken und Excel-Dateien aus E-Mails und Downloads nach Möglichkeit blockieren oder in einer Sandbox öffnen.
• Eingesetzte Office-Versionen und Kanäle erfassen und die behobenen Builds im Microsoft Security Update Guide prüfen.
• Auf Berichte zur Ausnutzung achten und die Priorität erhöhen, falls solche auftreten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118706 msrc.microsoft.com
• CVE Record: CVE-2026-118706 www.cve.org
• Strix: CVE-2026-118706 (secondary, verify) www.strix.ai
• ThreatInt: CVE-2026-118706 (secondary, verify) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:56.