Microsoft Office Excel: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Microsoft Office Excel enthält einen Heap-basierten Pufferüberlauf (CWE-122), der es einem nicht autorisierten Angreifer erlaubt, über das Netzwerk Code auszuführen. Voraussetzung ist, dass ein Benutzer eine manipulierte Tabellenkalkulation öffnet, zum Beispiel eine per E-Mail erhaltene oder aus dem Internet heruntergeladene Datei (UI:R). Microsoft bewertet den CVSS-v3.1-Basiswert mit 8.8; die Analyse durch NVD war zum Zeitpunkt der Veröffentlichung noch ausstehend.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis vor dem Build, der auf der Microsoft-Sicherheitsupdate-Seite (aka.ms/OfficeSecurityReleases) aufgeführt ist
• Office 365 für Mac: vor 16.115.26110837
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140
• Office LTSC für Mac 2021 und 2024: vor 16.115.26110837
• Office Online Server: 16.0.0.0 bis vor 16.0.10417.20236

Behoben in

• Builds, die gemäss CVE-Eintrag die obere Grenze der oben genannten betroffenen Bereiche bilden. Vor dem Einsatz im MSRC-Advisory überprüfen.
• Microsoft 365 Apps for Enterprise: aktueller Build gemäss Microsoft-Sicherheitsupdate-Seite (in den CVE-Daten nicht angegeben).
• Office Online Server: im Sicherheitsupdate für SharePoint vom November 2026 enthalten, gemäss einem Blog eines Drittanbieters.

Umgehung

• Keine bekannt. Microsoft verweist in den CVE-Daten auf das Sicherheitsupdate als Behebung.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung bekannt.
• Kein öffentlicher Proof-of-Concept bekannt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• CVSS-Temporal-Bewertung der Exploit-Reife: Unproven (E:U).

Unsere Empfehlung

• Microsoft 365 Apps, Office LTSC- und Office-für-Mac-Clients im Update-Zyklus vom November 2026 aktualisieren, nachdem die Build-Nummern im MSRC-Advisory bestätigt wurden.
• Office Online Server oder SharePoint-Farmen im selben Zyklus patchen. Vorher prüfen, ob die Farm die erforderliche Berechtigungskorrektur für das CU vom September 2025 hat.
• Prüfen, ob Office Online Server oder SharePoint aus dem Internet erreichbar sind, und diese Systeme priorisieren.
• Bis zum Patch keine unbekannten Tabellenkalkulationen aus E-Mails oder Downloads öffnen, den geschützten Ansichtsmodus aktiviert lassen und Office-Dateitypen aus dem Internet einschränken.
• Auf Aktualisierungen der NVD-Analyse und Änderungen beim Ausnutzungsstatus achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center advisory CVE-2026-118709 msrc.microsoft.com
• CVE Record CVE-2026-118709 (CVE.org) www.cve.org
• Stefan Gossner blog: SharePoint security fixes November 2026 blog.stefan-gossner.com
• Cybersecurity News: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
• Strix AI CVE-2026-118709 www.strix.ai
• Threatint CVE-2026-118709 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:52.