Microsoft Office Excel: Remote Code Execution durch Integer-Unterlauf

Zusammenfassung

Ein Integer-Unterlauf (CWE-191) in Microsoft Office Excel erlaubt es einem nicht autorisierten Angreifer, Code auszuführen. Für die Ausnutzung muss ein Opfer eine präparierte Datei öffnen, zum Beispiel einen E-Mail-Anhang oder eine heruntergeladene Tabelle, es ist also eine Benutzerinteraktion nötig (CVSS 8.8, UI:R). Eine erfolgreiche Ausnutzung kann auf dem betroffenen Computer zu einer hohen Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit führen.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zur korrigierten Version (siehe MSRC)
• Microsoft Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Microsoft Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (Sekundärquelle, auf MSRC bestätigen)
• Microsoft Office LTSC für Mac 2021 und 2024: vor 16.115.26110837 (Sekundärquelle, auf MSRC bestätigen)
• Microsoft Office Online Server: 16.0.0.0 vor 16.0.10417.20236 (Sekundärquelle, auf MSRC bestätigen)

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt. Siehe MSRC-Advisory.
• Office 365 für Mac: 16.115.26110837
• Office LTSC 2021: 16.0.14334.21048
• Office LTSC 2024: 16.0.17932.21140 (Sekundärquelle)
• Office LTSC für Mac 2021 und 2024: 16.115.26110837 (Sekundärquelle)
• Office Online Server: 16.0.10417.20236 (Sekundärquelle)

Umgehung

• Dem Hersteller ist keine Workaround-Massnahme bekannt.
• Bis zum Patch: Keine unaufgeforderten Tabellen aus E-Mails oder Downloads öffnen, den geschützten Ansichtsmodus aktiviert lassen und Makros sowie nicht benötigte Dateitypen per Gruppenrichtlinie blockieren.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Die CVSS-Ausnutzungsreife ist unbewiesen (E:U).
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Microsoft 365 Apps, Office LTSC und Office für Mac über die üblichen Microsoft-Update-Kanäle patchen und die Build-Nummern vorher auf MSRC prüfen.
• Office im selben Zeitfenster wie die übrigen Excel-Korrekturen des Novembers 2026 patchen.
• Excel-Benutzer priorisieren, die externe Dateien per E-Mail oder Download erhalten.
• Mitarbeitende anweisen, unerwartete Tabellen nicht zu öffnen, und auf öffentlichen Exploit-Code achten, da die CVSS-Bewertung derzeit unbewiesen lautet.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-118712 www.cve.org
• Microsoft Security Update Guide CVE-2026-118712 msrc.microsoft.com
• Strix CVE-2026-118712 (secondary build data) www.strix.ai
• Cybersecurity News: Microsoft November 2026 Patch Tuesday cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:53.