Microsoft Office Excel: Remote Code Execution durch heap-basierten Pufferüberlauf

Zusammenfassung

Microsoft Office Excel enthält einen heap-basierten Pufferüberlauf, der einem Angreifer aus dem Netzwerk ohne Berechtigungen die Ausführung von Code ermöglicht. Der CVSS-Vektor setzt eine Benutzerinteraktion voraus, etwa das Öffnen einer präparierten Tabelle aus einer E-Mail oder einem Download. Der CNA bewertet die Schwachstelle mit 8.8 (hoch), VulDB mit 6.3 (mittel).

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (genauer Build unbestätigt)
• Office 365 für Mac: vor 16.115.26110837
• Office LTSC 2021: vor 16.0.14334.21048
• Office LTSC 2024: vor 16.0.17932.21140
• Office LTSC für Mac 2021: vor 16.115.26110837
• Office LTSC für Mac 2024: vor 16.115.26110837
• Office Online Server: vor 16.0.10417.20236

Die Versionen stammen aus dem CNA-Eintrag und müssen im MSRC-Advisory bestätigt werden.

Behoben in

Unbekannt. Das MSRC-Advisory konnte nicht geprüft werden, daher sind die korrigierten Build-Nummern nicht bestätigt. Microsoft 365 wird über die Versionshinweise unter https://aka.ms/OfficeSecurityReleases aktualisiert.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Allgemeine Härtungsmassnahmen, für diese CVE nicht bestätigt:

• Nicht vertrauenswürdige Anhänge aus dem Internet blockieren oder in einer Sandbox öffnen.
• Geschützte Ansicht für Dateien aus dem Internet aktiviert lassen.

Ausnutzung

Keine Hinweise auf eine Ausnutzung gefunden. Die CVE ist in den geprüften CISA-KEV-Meldungen nicht aufgeführt, dies ist aber kein bestätigter Ausschluss. VulDB gibt an, dass kein Exploit verfügbar ist. Eine Schätzung von Brokern von 5k–25k USD liegt vor, was kein Beleg für einen Verkauf ist. CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Microsoft 365 Apps und Office LTSC Clients über den regulären Update-Kanal patchen, sobald die korrigierten MSRC-Builds bestätigt sind.
• Benutzer priorisieren, die externe Tabellen öffnen.
• Mitarbeitende daran erinnern, unerwartete Tabellen aus E-Mails oder Downloads nicht zu öffnen.
• MSRC-Advisory und CISA-KEV-Katalog auf Updates prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-118714 www.cve.org
• Microsoft Security Update Guide msrc.microsoft.com
• VulDB entry 434124 vuldb.com
• Strix AI CVE mirror www.strix.ai
• ThreatInt CVE mirror cve.threatint.com
• CISA KEV alert 2026-10-29 www.cisa.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:55.