Microsoft Office Excel: Ungeprüfte Zeigerdereferenzierung erlaubt lokale Codeausführung

Zusammenfassung

Microsoft Office Excel enthält eine ungeprüfte Zeigerdereferenzierung (CWE-822), die einem nicht autorisierten Angreifer die Ausführung von Code ermöglicht. Der CVSS-Vektor ist lokal (AV:L) mit Benutzerinteraktion (UI:R), daher besteht der realistische Angriffsweg darin, dass ein Benutzer eine manipulierte Tabellenkalkulation aus einer E-Mail, einem Download oder einer geteilten Datei öffnet. Bei erfolgreicher Ausnutzung erhält der Angreifer auf dem betroffenen System volle Kontrolle über Vertraulichkeit, Integrität und Verfügbarkeit. Der CNA-Titel nennt Remote Code Execution, die Beschreibung und der Vektor deuten jedoch auf einen lokalen Angriff hin, weshalb das MSRC-Advisory geprüft werden sollte.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 vor der Korrektur (exakter Build siehe MSRC)
• Office für Mac: 1.0.0 vor 16.115.26110837
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (unverifiziert, aus Aggregator)
• Office LTSC für Mac 2021 und 2024: vor 16.115.26110837 (unverifiziert, aus Aggregator)
• Office Online Server: 16.0.0.0 vor 16.0.10417.20236 (unverifiziert, aus Aggregator)

Behoben in

• Microsoft 365 Apps for Enterprise: Aktualisierung über https://aka.ms/OfficeSecurityReleases (Sicherheitsupdate November 2026)
• Office für Mac und LTSC für Mac: 16.115.26110837 oder neuer (Aggregator-Daten, auf MSRC prüfen)
• Office LTSC 2021: 16.0.14334.21048 oder neuer
• Office LTSC 2024: 16.0.17932.21140 oder neuer (unverifiziert)
• Office Online Server: 16.0.10417.20236 oder neuer (unverifiziert)

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers identifiziert. Die Behebung erfolgt durch Patchen.

Ausnutzung

Zum Prüfzeitpunkt sind keine Ausnutzung und kein öffentlicher Proof-of-Concept bekannt. CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Die Sicherheitsupdates von Office vom November 2026 auf allen Office-Installationen einspielen (Click-to-Run, Mac, LTSC), zuerst Microsoft 365 Apps.
• Installierte Build-Nummern mit der MSRC-Tabelle der korrigierten Builds abgleichen, nicht nur mit Aggregator-Daten.
• Makro-Einschränkungen und Blockierung von Anhängen aktiv lassen und den Geschützten Ansichtsmodus beibehalten.
• Den MSRC-Eintrag auf Änderungen des Ausnutzungsstatus überwachen.
• Die gesamte Excel-Serie vom November priorisieren, da sie mehrere kritische Office-RCE-Lücken enthält.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118723 msrc.microsoft.com
• CVE Record CVE-2026-118723 (CVE.org) www.cve.org
• Strix: CVE-2026-118723 www.strix.ai
• CVE-2026-118723 aggregator entry (threatint) cve.threatint.com
• VulDB entry for Office Excel product classification vuldb.com
• Action1: Patch Tuesday November 2026 www.action1.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:55.