Microsoft Office Excel: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Office Excel erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angriff erfordert, dass ein Benutzer eine manipulierte Arbeitsmappe öffnet oder damit interagiert, typischerweise über E-Mail oder einen Download. Microsoft bewertet die Schwachstelle mit CVSS 8.8, zum Zeitpunkt der Veröffentlichung sind keine Ausnutzungen bekannt.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis vor der korrigierten Build-Version (Build-Nummer im CVE-Eintrag nicht angegeben; siehe MSRC-Advisory)
• Office 365 für Mac: vor 16.115.26110837
• Office LTSC 2021: vor 16.0.14334.21048
• Office LTSC 2024: vor 16.0.17932.21140 (aus Drittquelle, zu verifizieren)
• Office LTSC für Mac 2021: vor 16.115.26110837
• Office LTSC für Mac 2024: vor 16.115.26110837
• Office Online Server: vor 16.0.10417.20236 (aus Drittquelle, zu verifizieren)

Behoben in

Behoben in den oben aufgeführten Builds, gemäss CVE-Eintrag. Build-Nummer für Microsoft 365 Apps: siehe https://aka.ms/OfficeSecurityReleases. Alle Build-Nummern vor dem Rollout im MSRC-Advisory bestätigen.

Umgehung

Unbekannt.

• In den Quellen wurde kein Workaround des Herstellers gefunden. Das MSRC-Advisory auf veröffentlichte Massnahmen prüfen.

Ausnutzung

• Ausnutzungsstatus: zum Zeitpunkt der Veröffentlichung keine bekannte Ausnutzung; Microsofts Einstufung der Exploit-Reife lautet 'unproven'.
• Kein öffentlicher Exploit-Code gefunden.
• Eintrag im CISA-KEV-Katalog: unbekannt; direkt im CISA-Katalog prüfen.

Unsere Empfehlung

• Microsoft Office Excel auf allen Windows- und Mac-Systemen patchen, sobald die korrigierten Builds verfügbar sind; Systeme mit Anhängen von externen Absendern priorisieren.
• Exakte korrigierte Build-Nummern im MSRC-Advisory vor dem Rollout prüfen, inklusive LTSC 2024 und Online Server.
• Bis zur Behebung das Öffnen von Excel-Dateien unbekannter Absender einschränken und den Geschützten Modus für aus dem Internet stammende Dateien aktiviert lassen.
• CISA-KEV-Katalog und NVD auf Updates zum Ausnutzungsstatus prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-118721 msrc.microsoft.com
• CVE Record CVE-2026-118721 www.cve.org
• VulDB entry 434127 vuldb.com
• Strix.ai CVE-2026-118721 www.strix.ai
• ThreatInt CVE-2026-118721 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:43.