Microsoft Excel: Use-after-free führt zu Remote Code Execution

Zusammenfassung

Microsoft Excel, Bestandteil mehrerer Microsoft-Office- und Microsoft-365-Editionen, enthält eine Use-after-free-Schwachstelle (CWE-416). Gemäss CVE-Eintrag kann ein nicht autorisierter Angreifer über ein Netzwerk Code ausführen. Es ist eine Benutzerinteraktion erforderlich, zum Beispiel das Öffnen einer präparierten Datei, und es sind keine Berechtigungen nötig.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 vor dem Fix unter https://aka.ms/OfficeSecurityReleases (fixierte Build-Nummer im Eintrag nicht angegeben)
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (gemäss Aggregator, unverifiziert)
• Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Office LTSC für Mac 2021: 16.0.1 vor 16.115.26110837
• Office LTSC für Mac 2024: 16.0.0 vor 16.115.26110837
• Office Online Server: 16.0.0.0 vor 16.0.10417.20236 (gemäss Aggregator, unverifiziert)

Behoben in

• Office LTSC 2021: 16.0.14334.21048 (gemäss CVE-Eintrag)
• Office für Mac (Microsoft 365 und LTSC für Mac): 16.115.26110837 (gemäss CVE-Eintrag)
• Weitere Builds: Unbekannt. Das MSRC-Advisory konnte nicht verifiziert werden. Prüfen Sie https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118710

Umgehung

Unbekannt. Die Quellen bestätigen keine patch-unabhängige Gegenmassnahme.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Der temporale Vektor des CVE-Eintrags enthält E:U (Reifegrad des Exploit-Codes: nicht nachgewiesen).

Unsere Empfehlung

• Installieren Sie die Office-Sicherheitsupdates vom November 2026 so rasch wie möglich auf allen betroffenen Office-Clients und prüfen Sie die fixierte Build-Nummer im MSRC-Advisory.
• Priorisieren Sie Mitarbeitende, die Tabellen von externen Absendern öffnen.
• Prüfen Sie, ob Office Online Server im Einsatz ist.
• Halten Sie E-Mail-Filterung und Anhangsprüfung aktiv und lassen Sie die geschützte Ansicht eingeschaltet.
• Beobachten Sie Meldungen zu Ausnutzung und aktualisieren Sie den Status, sobald die NVD-Analyse vorliegt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-118710 www.cve.org
• MSRC Security Update Guide (vendor advisory) msrc.microsoft.com
• Strix CVE-2026-118710 (aggregator, unverified) www.strix.ai
• threatint CVE-2026-118710 (aggregator, unverified) cve.threatint.com
• Patch Tuesday November 2026 roundup cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:52.