Microsoft Office Excel: Stack-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein stack-basierter Pufferüberlauf in Microsoft Office Excel erlaubt einem nicht autorisierten Angreifer, über ein Netzwerk Code auszuführen. Der Angriff erfordert eine Benutzerinteraktion, typischerweise das Öffnen einer manipulierten Tabellenkalkulation, die per E-Mail erhalten oder aus dem Internet heruntergeladen wurde. Bei erfolgreicher Ausnutzung kann ein Angreifer die Vertraulichkeit, Integrität und Verfügbarkeit in der Benutzersitzung vollständig beeinträchtigen.

Betroffen

• Microsoft 365 Apps for Enterprise (16.0.1 vor dem unter https://aka.ms/OfficeSecurityReleases aufgeführten Release-Build)
• Office 365 für Mac (1.0.0 vor 16.115.26110837)
• Office LTSC 2021 (16.0.1 vor 16.0.14334.21048)
• Office LTSC für Mac 2021 (16.0.1 vor 16.115.26110837)
• Office LTSC für Mac 2024 (16.0.0 vor 16.115.26110837)
• Office LTSC 2024 (16.0.0 vor 16.0.17932.21140, im Auszug des CVE-Eintrags nicht bestätigt)
• Office Online Server (16.0.0.0 vor 16.0.10417.20236, im Auszug des CVE-Eintrags nicht bestätigt)

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt, siehe MSRC-Advisory
• Office 365 für Mac und Office LTSC für Mac: 16.115.26110837 oder neuer
• Office LTSC 2021: 16.0.14334.21048 oder neuer
• Office LTSC 2024: 16.0.17932.21140 oder neuer (auf MSRC prüfen)
• Office Online Server: 16.0.10417.20236 oder neuer (auf MSRC prüfen)

Umgehung

Unbekannt. Im MSRC-Advisory auf veröffentlichte Massnahmen prüfen.

• Geschützte Ansicht und Makroeinschränkungen aktiviert lassen.
• Unbekannte Excel-Anhänge aus E-Mails und dem Internet bis zur Behebung blockieren oder in Quarantäne verschieben.

Ausnutzung

• Ausnutzung in freier Wildbahn: In den geprüften Quellen nicht gemeldet. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Der CVSS-Temporalvektor enthält E:U, was darauf hindeutet, dass Microsoft bei der Veröffentlichung kein Exploit-Code bekannt war.

Unsere Empfehlung

• Die korrigierten Builds auf allen Windows- und Mac-Endgeräten sowie auf Office Online Server, falls eingesetzt, installieren; dabei die auf MSRC bestätigten Builds verwenden.
• Sicherstellen, dass die automatischen Updates von Microsoft 365 funktionieren, und die Korrektur nicht bis zum nächsten Patch-Tuesday-Zyklus aufschieben.
• Regeln des E-Mail-Gateways für Excel-Anhänge von externen Absendern überprüfen.
• Prüfen, ob Office Online Server aus dem Internet erreichbar ist, und dieses System priorisieren.
• Diese CVE in den kommenden Tagen auf KEV-Aufnahme oder öffentliche Exploit-Berichte prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118720 msrc.microsoft.com
• CVE Record: CVE-2026-118720 www.cve.org
• Strix AI: CVE-2026-118720 www.strix.ai
• ThreatInt: CVE-2026-118720 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:50.