Microsoft Office Excel: Stack-basierter Pufferüberlauf ermöglicht Codeausführung

Zusammenfassung

Ein stack-basierter Pufferüberlauf in Microsoft Office Excel erlaubt es einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen (CVSS 8.8). Für den Angriff muss ein Benutzer eine präparierte Datei öffnen, etwa einen Excel-Anhang oder einen Download, und es sind keine Berechtigungen nötig. Bei erfolgreicher Ausnutzung erhält der Angreifer volle Kontrolle über das System des betroffenen Benutzers. Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung bekannt.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (siehe aka.ms/OfficeSecurityReleases)
• Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (Sekundärquelle, auf MSRC zu bestätigen)
• Office LTSC für Mac 2021 und 2024: vor 16.115.26110837 (im CVE-Eintrag aufgeführt, zu bestätigen)
• Office Online Server: 16.0.0.0 vor 16.0.10417.20236 (im CVE-Eintrag aufgeführt, zu bestätigen)

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt (korrigierter Build unter aka.ms/OfficeSecurityReleases)
• Office 365 für Mac: 16.115.26110837 oder neuer
• Office LTSC 2021: 16.0.14334.21048 oder neuer
• Office LTSC 2024: 16.0.17932.21140 oder neuer (auf MSRC zu bestätigen)
• Behoben mit den Sicherheitsupdates von Microsoft vom November 2026

Umgehung

Unbekannt.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Exploit-Reife E:U (unbewiesen) im CVSS-Vektor
• Zum Zeitpunkt der Veröffentlichung sind keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof-of-Concept-Code bekannt

Unsere Empfehlung

• Die Office-Updates vom November 2026 installieren, zuerst Microsoft 365 Apps und LTSC-Installationen
• Mac- und permanente LTSC-Installationen separat prüfen, da sie oft eine explizite Verteilung benötigen
• Korrigierte Builds auf MSRC und aka.ms/OfficeSecurityReleases bestätigen
• Mitarbeitende darauf hinweisen, keine unerwarteten Excel-Dateien von unbekannten Absendern zu öffnen
• MSRC und den CISA KEV-Katalog auf Änderungen des Ausnutzungsstatus prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118711 msrc.microsoft.com
• CVE Record CVE-2026-118711 (CNA Microsoft) www.cve.org
• Microsoft November 2026 Patch Tuesday (Cybersecurity News) cybersecuritynews.com
• Strix AI: CVE-2026-118711 www.strix.ai
• Threatint: CVE-2026-118711 cve.threatint.com
• Vulners: PT-2026-118711 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:53.