Microsoft Office Excel: Remote Code Execution durch unsichere Zeigerdereferenzierung

Zusammenfassung

Microsoft Excel, Bestandteil von Microsoft 365 Apps und Office, enthält eine unsichere Zeigerdereferenzierung, die Remote Code Execution ermöglicht. Ein nicht autorisierter Angreifer kann über das Netzwerk Code ausführen, sofern ein Benutzer eine präparierte Datei öffnet, etwa einen Phishing-Anhang oder eine geteilte Arbeitsmappe. Der CVSS-Wert beträgt 8.8 (hoch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, und der Code läuft mit den Rechten des Benutzers.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 vor dem Office-Sicherheitsupdate (genauer Build im CVE-Eintrag nicht angegeben)
• Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC für Mac 2021: 16.0.1 vor 16.115.26110837
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (aus Drittquellen, auf MSRC zu bestätigen)
• Office LTSC für Mac 2024: 16.0.0 vor 16.115.26110837 (aus Drittquellen, auf MSRC zu bestätigen)
• Office Online Server: 16.0.0.0 vor 16.0.10417.20236 (aus Drittquellen, auf MSRC zu bestätigen)

Behoben in

• Die korrigierten Builds sind im Microsoft Security Update Guide (MSRC) zu CVE-2026-118724 aufgeführt.
• Microsoft 365 Apps und Office LTSC: Behebung voraussichtlich im Sicherheitsupdate vom November 2026; nicht aus einer Primärquelle bestätigt.
• Microsoft 365 Apps for Enterprise: konkreter korrigierter Build unbekannt.

Umgehung

• Unbekannt. Es wurde keine vom Hersteller veröffentlichte Workaround-Massnahme gefunden.
• Bis zur Behebung Protected View und Mark-of-the-Web aktiviert lassen, makrofähige und unaufgeforderte Tabellenanhänge am Mail-Gateway blockieren oder in Quarantäne verschieben und Office-Dateien aus nicht vertrauenswürdigen Quellen nicht öffnen.

Ausnutzung

• Aktive Ausnutzung: Keine Hinweise gefunden; kein KEV-Eintrag.
• Öffentlicher Proof of Concept: Unbekannt.
• Einschätzung der Ausnutzbarkeit durch Microsoft: Nicht gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Die Office- und Microsoft-365-Updates vom November 2026 am selben Tag einspielen und sicherstellen, dass die Update-Kanäle auf allen Clients funktionieren.
• Vor dem Schliessen des Tickets die korrigierten Build-Nummern und die Ausnutzbarkeit im MSRC-Advisory prüfen.
• Dateien von unbekannten Absendern nicht öffnen und die Mail-Filterung für Tabellenanhänge durchsetzen.
• Auf NVD-Analyse, KEV-Aufnahme und Meldungen zu öffentlichen Proof-of-Concepts achten und bei gemeldeter Ausnutzung zügig patchen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118724 msrc.microsoft.com
• CVE Record: CVE-2026-118724 www.cve.org
• Strix: CVE-2026-118724 www.strix.ai
• threatint: CVE-2026-118724 cve.threatint.com
• Cybersecurity News: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
• Trinetri Ops: Patch Tuesday November 2026 trinetriops.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:44.