Microsoft Office Excel: Use after free führt zu Remote Code Execution

Zusammenfassung

Ein Use-after-free-Speicherfehler in Microsoft Excel, der Tabellenkomponente von Microsoft 365 Apps und Office LTSC, ermöglicht Remote Code Execution. Ein Angreifer kann Code mit den Rechten des Benutzers auf dem Computer des Opfers ausführen; der CNA-CVSS-Wert beträgt 8.8. Für den Angriff ist keine Anmeldung nötig, aber ein Benutzer muss eine präparierte Datei öffnen, typischerweise eine per E-Mail oder Download erhaltene Datei. Es ist noch nichts über eine Ausnutzung bekannt, und es wurde kein öffentlicher Proof of Concept gefunden.

Betroffen

• Microsoft 365 Apps for Enterprise (16.0.1 bis zum im MSRC-Advisory aufgeführten Fix-Build)
• Microsoft Office 365 für Mac (1.0.0 vor 16.115.26110837)
• Microsoft Office LTSC 2021 (16.0.1 vor 16.0.14334.21048)
• Microsoft Office LTSC 2024 (betroffen; Fix-Version gegen MSRC zu verifizieren, ein Drittanbieter-Aggregator nennt 16.0.17932.21140)
• Office LTSC für Mac 2021 und 2024, Office Online Server: nur von einem Drittanbieter-Aggregator aufgeführt, unbestätigt

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt (siehe MSRC-Advisory)
• Office 365 für Mac: 16.115.26110837
• Office LTSC 2021: 16.0.14334.21048
• Office LTSC 2024: Unbekannt aus dem CNA-Eintrag; laut einer Drittquelle 16.0.17932.21140, zu verifizieren
• Office LTSC für Mac 2021 und 2024: unbestätigt, laut einer Drittquelle 16.115.26110837
• Office Online Server: unbestätigt, laut einer Drittquelle 16.0.10417.20236

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround; das Einspielen des Patches ist die Behebung.

Ausnutzung

• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog; kein Hinweis auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• VulDB schätzt die Ausnutzung als einfach ein; dabei handelt es sich um Schätzungen, nicht um bestätigte Aktivität.

Unsere Empfehlung

• Das Microsoft-Sicherheitsupdate im üblichen Patch-Zyklus auf allen Microsoft-365- und Office-LTSC-Clients einspielen.
• Installierte Builds gegen die MSRC-Tabelle prüfen, da einige Fix-Versionen unbestätigt sind.
• Die verwandten Excel-Speicherfehler aus demselben Release (zum Beispiel CVE-2026-118717 und CVE-2026-118719) gemeinsam patchen.
• Bis zum Patch das Öffnen von Tabellen aus unsicheren E-Mails oder Downloads einschränken und Office-Dateiblockierung sowie Geschützte Ansicht aktiviert lassen.
• Den CISA-KEV-Katalog in den kommenden Tagen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide msrc.microsoft.com
• CVE.org CVE Record www.cve.org
• VulDB CVE-2026-118716 vuldb.com
• Strix CVE-2026-118716 www.strix.ai
• CISA KEV alert 9 Nov 2026 www.cisa.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:46.