Microsoft Office Excel: Remote Code Execution durch Heap-based Buffer Overflow

Zusammenfassung

Ein Heap-based Buffer Overflow in Microsoft Excel erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Basiswert beträgt 8.8 (hoch), und Microsoft stuft die Lücke als wichtig ein. Ein Angriff erfordert, dass ein Benutzer eine präparierte Tabellenkalkulation öffnet, etwa eine per Phishing oder Download zugestellte Datei.

Betroffen

• Microsoft 365 Apps for Enterprise (32-Bit und x64): Builds ab 16.0.1 vor der Korrektur (korrigierter Build unbekannt)
• Office 365 für Mac: 1.0.0 bis vor 16.115.26110837
• Office LTSC 2021 (32-Bit und x64): 16.0.1 bis vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140 (nicht verifiziert, aus Sekundärquellen)
• Office LTSC für Mac 2021 und 2024: 16.0.1 bzw. 16.0.0 bis vor 16.115.26110837
• Office Online Server: 16.0.0.0 bis vor 16.0.10417.20236 (nicht verifiziert, aus Sekundärquellen)

Behoben in

• Korrigiert in den Office-Sicherheitsupdates von Microsoft vom November 2026 (Patch Tuesday). Genaue korrigierte Builds: siehe Herstellerhinweis; die oben genannten Schwellenwerte sind die ersten korrigierten Builds gemäss CNA-Eintrag, ausser wo als nicht verifiziert gekennzeichnet.

Umgehung

• Unbekannt. In den geprüften Quellen wurden keine Workarounds dokumentiert.

Ausnutzung

• Zum Zeitpunkt der Prüfung wurden keine Hinweise auf Ausnutzung in freier Wildbahn, keine öffentlichen Proof-of-Concept-Exploits und kein Eintrag im CISA-KEV-Katalog gefunden. CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Die Office-Sicherheitsupdates vom November 2026 vorrangig auf allen Microsoft-365-, Office-365-für-Mac-, Office-LTSC- und Office-Online-Server-Systemen installieren.
• Installierte Build-Nummern mit den oben genannten Schwellenwerten vergleichen; Office LTSC und Office Online Server separat prüfen.
• Bis zur Korrektur Tabellenkalkulations-Anhänge von unbekannten Absendern blockieren oder in Quarantäne geben und unbekannte Dateien nicht öffnen.
• Benutzerrechte einschränken, um die Auswirkungen einer Codeausführung zu begrenzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record (CNA) www.cve.org
• Microsoft Security Update Guide msrc.microsoft.com
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com
• Cybersecurity News: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
• threatint CVE-2026-118722 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:44.