Microsoft Office Excel: Use after free führt zu Remote Code Execution

Zusammenfassung

Microsoft Office Excel enthält eine Use-after-free-Schwachstelle mit Speicherbeschädigung (CWE-416). Öffnet ein Benutzer eine speziell präparierte Excel-Datei, zum Beispiel aus einer E-Mail oder einem Download, kann ein nicht autorisierter Angreifer unter Umständen Code im Kontext des angemeldeten Benutzers ausführen. Es ist keine Authentifizierung nötig, wohl aber eine Interaktion des Benutzers. Microsoft hat am 10. November 2026 Sicherheitsupdates veröffentlicht.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (genauer Build unbekannt)
• Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (aus einem Aggregator, unverifiziert)
• Office LTSC für Mac 2021 und 2024: vor 16.115.26110837
• Office Online Server: 16.0.0.0 vor 16.0.10417.20236 (unverifiziert, möglicherweise nicht von dieser CVE betroffen)

Behoben in

• Sicherheitsupdate veröffentlicht am 10. November 2026 für 32-Bit- und 64-Bit-Editionen von Office LTSC 2021, Office LTSC 2024 und Microsoft 365 Apps for Enterprise
• Office LTSC 2021: 16.0.14334.21048 oder neuer
• Office LTSC 2024: 16.0.17932.21140 oder neuer (unverifiziert)
• Office für Mac: 16.115.26110837 oder neuer
• Microsoft 365 Apps: Build-Nummer unbekannt, auf der MSRC-Seite prüfen

Umgehung

Unbekannt.

• Kein Workaround des Herstellers gefunden. Ein Patch ist verfügbar.
• Provisorische Massnahmen bis zum Patch: E-Mail- und Download-Anhänge von Office-Dateien aus unbekannten Quellen einschränken oder blockieren, Geschützte Ansicht und Application Guard aktiviert lassen und Makros aus dem Internet blockieren.

Ausnutzung

• Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn oder öffentlichen Proof-of-Concept-Code gefunden.
• Der CVSS-Vektor verwendet E:U (Exploit-Reife unbewiesen).
• Strix führt KEV: No.
• Die MSRC-Angaben zur Ausnutzung für diese CVE konnten nicht abgerufen werden, daher ist die Aussagekraft gering bis mittel.

Unsere Empfehlung

• Für Microsoft 365- und LTSC-Clients als hohe Priorität behandeln.
• Das Office-Update vom November 2026 auf der gesamten Suite ausrollen und die Build-Nummern vor der Verteilung auf der MSRC-Seite prüfen.
• Office-Anhänge von unbekannten Absendern blockieren oder in Quarantäne verschieben und die Geschützte Ansicht aktiviert lassen.
• Auf ungewöhnliche Excel-Prozessaktivitäten auf Arbeitsstationen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (CVE-2026-118713) msrc.microsoft.com
• CVE.org record CVE-2026-118713 www.cve.org
• Microsoft November 2026 Patch Tuesday (cybersecuritynews) cybersecuritynews.com
• Strix CVE-2026-118713 www.strix.ai
• threatint CVE-2026-118713 cve.threatint.com
• VulDB 434123 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:54.