Microsoft Office Excel: Ungültiger Zeigerverweis ermöglicht Remote Code Execution

Zusammenfassung

In Microsoft Office Excel liegt eine Schwachstelle vom Typ CWE-763 (Freigabe eines ungültigen Zeigers oder Verweises) vor. Ein nicht autorisierter Angreifer kann über das Netzwerk Code ausführen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Laut CVSS-Vektor muss ein Benutzer eine Aktion ausführen, am wahrscheinlichsten das Öffnen einer präparierten Tabelle, die per E-Mail, Dateifreigabe oder Download eintrifft. Der CVE-Eintrag ordnet die Schwachstelle Excel zu, ein SharePoint-Blog führt sie jedoch auch unter den SharePoint-On-Premises-Korrekturen, daher ist der Umfang noch nicht bestätigt.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis vor dem korrigierten Build (genauer Build unbekannt, siehe MSRC)
• Office 365 für Mac: 1.0.0 bis vor 16.115.26110837
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140
• Office LTSC für Mac 2021: 16.0.1 bis vor 16.115.26110837
• Office LTSC für Mac 2024: 16.0.0 bis vor 16.115.26110837
• Office Online Server: 16.0.0.0 bis vor 16.0.10417.20236
• Nicht verifiziert: mögliche Auswirkung auf SharePoint Server On-Premises, im CVE-Eintrag nicht bestätigt

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt, bei MSRC prüfen
• Office 365 für Mac: 16.115.26110837
• Office LTSC 2021: 16.0.14334.21048
• Office LTSC 2024: 16.0.17932.21140
• Office LTSC für Mac 2021: 16.115.26110837
• Office LTSC für Mac 2024: 16.115.26110837
• Office Online Server: 16.0.10417.20236

Umgehung

Unbekannt. In den verfügbaren Quellen wurde keine Workaround-Massnahme gefunden. Das Sicherheitsupdate installieren.

Ausnutzung

• In den verfügbaren Quellen wurde kein Hinweis auf eine Ausnutzung in freier Wildbahn gefunden.
• Das Feld zur Ausnutzung beim MSRC konnte nicht verifiziert werden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof of Concept gefunden; die Berichterstattung zu dieser neuen CVE ist begrenzt.

Unsere Empfehlung

• Alle Office-Installationen (Microsoft 365 Kanal, LTSC 2021/2024, Mac) mit ihren Build-Nummern inventarisieren.
• Sicherheitsupdates installieren und die korrigierten Builds mit der MSRC-Tabelle abgleichen.
• Prüfen, ob eine SharePoint-Server-Farm On-Premises im Einsatz ist, und diese bei Bedarf patchen.
• Benutzer priorisieren, die regelmässig externe Tabellen öffnen.
• Geschützte Ansicht aktiviert lassen und unaufgeforderte Tabellen von externen Absendern bis zum Patch mit Vorsicht behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record CVE-2026-118708 (CVE.org) www.cve.org
• Microsoft Security Update Guide CVE-2026-118708 msrc.microsoft.com
• Threatint CVE summary CVE-2026-118708 cve.threatint.com
• Strix CVE summary CVE-2026-118708 www.strix.ai
• SharePoint November 2026 update blog (scope conflict) blog.stefan-gossner.com
• November 2026 Patch Tuesday roundup cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:51.