Microsoft Office Excel: Out-of-Bounds-Read führt zu Rechteausweitung

Zusammenfassung

Ein Out-of-Bounds-Read in Microsoft Office Excel erlaubt einem nicht autorisierten Angreifer über das Netzwerk eine Rechteausweitung, wie der CVE-Eintrag (CWE-125) angibt. Der CVSS-Vektor setzt keine Berechtigungen voraus, wohl aber eine Benutzerinteraktion, zum Beispiel das Öffnen einer präparierten Tabelle aus einer E-Mail oder einem Internetdownload. Microsoft stuft die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein. Bis zum 10. November 2026 wurde weder eine Ausnutzung noch ein öffentlicher Proof of Concept gefunden.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 vor dem korrigierten Build (siehe MSRC)
• Office für Mac 365: 1.0.0 vor 16.115.26110837
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (nicht verifiziert, laut Aggregator)
• Office LTSC für Mac 2021 und 2024: vor 16.115.26110837 (nicht verifiziert, laut Aggregator)
• Office Online Server: 16.0.0.0 vor 16.0.10417.20236 (nicht verifiziert, laut Aggregator)

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt. Siehe MSRC-Advisory.
• Office für Mac 365: 16.115.26110837
• Office LTSC 2021: 16.0.14334.21048
• Office LTSC 2024: 16.0.17932.21140 (noch zu verifizieren)
• Office LTSC für Mac 2021 und 2024: 16.115.26110837 (noch zu verifizieren)
• Office Online Server: 16.0.10417.20236 (noch zu verifizieren)

Umgehung

Unbekannt. In den geprüften Quellen ist kein Workaround dokumentiert. Die MSRC-FAQ auf allfällige Massnahmen prüfen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Per 10. November 2026 nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden.
• Die CVSS-Ausnutzungsreife ist als unbewiesen (E:U) bewertet.

Unsere Empfehlung

• Microsoft 365 Apps, Office LTSC und Office für Mac auf die Builds aus der MSRC-Advisory aktualisieren, zuerst bei Benutzern, die externe Dateien öffnen.
• Die korrigierten Build-Nummern in der MSRC-Advisory vor dem Rollout verifizieren.
• Die verwandten Excel-CVEs CVE-2026-118726 und CVE-2026-118724 im selben Zyklus patchen.
• Auf Aufnahme in den KEV-Katalog oder einen öffentlichen Proof of Concept überwachen und den NVD-Eintrag nach Abschluss der Analyse erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-118725 msrc.microsoft.com
• CVE Record CVE-2026-118725 www.cve.org
• Strix: CVE-2026-118725 www.strix.ai
• threatint: CVE-2026-118725 cve.threatint.com
• Microsoft November 2026 Patch Tuesday (Cybersecurity News) cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:45.