Microsoft Office Excel: Heap-basierter Pufferüberlauf ermöglicht Rechteerweiterung

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Excel erlaubt einem nicht autorisierten Angreifer laut CVE-Eintrag eine Rechteerweiterung über das Netzwerk. Der CVSS-Vektor setzt keine Berechtigungen, aber eine Benutzerinteraktion (UI:R) voraus, weshalb ein Angreifer in der Regel einen Benutzer dazu bringen muss, eine präparierte Datei zu öffnen, etwa einen E-Mail-Anhang oder einen Download. Der CNA-Eintrag nennt Microsoft 365 Apps for Enterprise, Office für Mac, Office LTSC 2021/2024 und Office Online Server als betroffen. Der CVSS-Score beträgt 8.8 (hoch), und NVD hatte die Analyse zum Zeitpunkt der Veröffentlichung noch nicht abgeschlossen.

Betroffen

• Microsoft 365 Apps for Enterprise: ab 16.0.1, vor dem unter aka.ms/OfficeSecurityReleases aufgeführten Build
• Office 365 für Mac: ab 1.0.0, vor 16.115.26110837
• Office LTSC 2021: ab 16.0.1, vor 16.0.14334.21048
• Office LTSC 2024: ab 16.0.0, vor 16.0.17932.21140 (nicht verifiziert)
• Office LTSC für Mac 2021 und 2024: ab 16.0.0 bzw. 16.0.1, vor 16.115.26110837 (nicht verifiziert)
• Office Online Server: ab 16.0.0.0, vor 16.0.10417.20236 (nicht verifiziert)
• Betroffene Komponente noch gegen das MSRC-Advisory zu prüfen

Behoben in

• Office 365 für Mac: 16.115.26110837 oder neuer
• Office LTSC 2021: 16.0.14334.21048 oder neuer
• Office LTSC 2024: 16.0.17932.21140 oder neuer (nicht verifiziert)
• Microsoft 365 Apps for Enterprise: Unbekannt. Build-Nummer nicht bestätigt; siehe aka.ms/OfficeSecurityReleases
• Verfügbar im Microsoft-Update vom November 2026 über die Update-Kanäle von Microsoft 365 / Office

Umgehung

Unbekannt. Keine vom Hersteller dokumentierte Workaround-Massnahme gefunden. Das Einspielen des Updates hat Priorität.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden
• Kein öffentlicher Proof-of-Concept gefunden
• Zum letzten Prüfzeitpunkt nicht im CISA-KEV-Katalog gelistet
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total

Unsere Empfehlung

• Die Microsoft 365 / Office-Updates vom November 2026 auf allen betroffenen Office-Installationen einspielen; Mitarbeitende, die externe Dateien öffnen, zuerst berücksichtigen
• Installierte Build-Nummern mit den oben genannten Fixversionen abgleichen
• Geschützte Ansicht für Dateien aus dem Internet aktiviert lassen und Makros sowie nicht vertrauenswürdige Anhänge einschränken, als allgemeine Härtungsmassnahme
• MSRC-Advisory und NVD auf bestätigte Build-Nummern und die betroffene Komponente prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-118715 www.cve.org
• Microsoft Security Update Guide msrc.microsoft.com
• Strix.ai CVE-2026-118715 (version cross-check) www.strix.ai
• threatint CVE-2026-118715 (version cross-check) cve.threatint.com
• Stefan Gossner: SharePoint security fixes, November 2026 PU blog.stefan-gossner.com
• November 2026 Patch Tuesday summary (ntcompatible) www.ntcompatible.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:46.