Microsoft Office Excel: Stack-based Buffer Overflow ermöglicht Remote Code Execution

Zusammenfassung

Ein Stack-based Buffer Overflow in Microsoft Excel, Teil von Microsoft 365 Apps, Office LTSC, Office für Mac und Office Online Server, erlaubt einem unautorisierten Angreifer, über das Netzwerk Code auszuführen. Für die Ausnutzung ist eine Benutzerinteraktion nötig, typischerweise das Öffnen einer präparierten Excel-Datei aus einer E-Mail oder einem Download. Es sind keine Berechtigungen erforderlich, der CVSS-Score beträgt 8.8 (hoch). Microsoft hat Korrekturen veröffentlicht; zum Zeitpunkt der Erstellung ist weder eine Ausnutzung noch öffentlicher Exploit-Code bekannt.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum Build in den Office-Sicherheitsmitteilungen
• Office 365 für Mac: vor 16.115.26110837
• Office LTSC 2021: vor 16.0.14334.21048
• Office LTSC 2024: vor 16.0.17932.21140
• Office LTSC für Mac 2021 und 2024: vor 16.115.26110837
• Office Online Server: vor 16.0.10417.20236

Behoben in

• Microsoft 365 Apps: aktueller Build gemäss https://aka.ms/OfficeSecurityReleases (im CVE-Eintrag nicht angegeben)
• Office 365 für Mac und Office LTSC für Mac: 16.115.26110837 oder neuer
• Office LTSC 2021: 16.0.14334.21048 oder neuer
• Office LTSC 2024: 16.0.17932.21140 oder neuer
• Office Online Server: 16.0.10417.20236 oder neuer

Umgehung

Unbekannt.

Ausnutzung

• Zum Zeitpunkt der Erstellung wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
• Kein öffentlicher Proof-of-Concept gefunden
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total

Unsere Empfehlung

• Office und Microsoft 365 Apps auf allen Endgeräten auf die oben genannten korrigierten Builds aktualisieren und die tatsächlichen Build-Nummern prüfen
• Office Online Server zuerst patchen, falls er eingesetzt wird und aus dem Internet erreichbar ist
• Geschützte Ansicht aktiviert lassen, Makros und Dateien aus dem Internet blockieren und bei unerwarteten Tabellen vorsichtig sein
• NVD und den CISA-KEV-Katalog in den kommenden Tagen erneut prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (CVE-2026-118717) msrc.microsoft.com
• CVE.org record CVE-2026-118717 www.cve.org
• Strix CVE summary CVE-2026-118717 www.strix.ai
• threatint CVE summary CVE-2026-118717 cve.threatint.com
• Stefan Gossner blog on SharePoint/OOS November 2026 update (third-party) blog.stefan-gossner.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:47.