Microsoft Office Excel: Remote Code Execution durch heap-basierten Pufferüberlauf

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Excel ermöglicht die Remote Code Execution. Ein Angreifer kann Code im Kontext des Benutzers ausführen, wenn ein Opfer eine präparierte Datei öffnet, etwa eine per E-Mail oder Teams erhaltene Tabellenkalkulation. Microsoft bewertet den CVSS-Score mit 8.8 (Hoch), und der CNA-Eintrag betrifft Microsoft 365 Apps, Office LTSC 2021 und 2024, Office für Mac und Office Online Server.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum behobenen Build (genauer Build: Unbekannt, siehe Microsoft-Advisory)
• Microsoft Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Microsoft Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (Quelle eines Drittanbieters, nicht von Microsoft bestätigt)
• Microsoft Office LTSC für Mac 2021 und 2024: vor 16.115.26110837 (Builds für 2021 und 2024 aus einer Drittquelle, nicht von Microsoft bestätigt)
• Microsoft Office Online Server: 16.0.0.0 vor 16.0.10417.20236 (Quelle eines Drittanbieters, nicht von Microsoft bestätigt)

Behoben in

• Microsoft 365 Apps: Build unbekannt; siehe Office-Sicherheitsupdate-Seite https://aka.ms/OfficeSecurityReleases
• Office 365 für Mac und LTSC für Mac: 16.115.26110837 oder neuer
• Office LTSC 2021: 16.0.14334.21048 oder neuer
• Office LTSC 2024 und Office Online Server: Die oben genannten Builds stammen von einer Drittquelle und müssen auf der MSRC-Seite bestätigt werden

Umgehung

• Vom Hersteller veröffentlichter Workaround: Unbekannt.
• Allgemeine Massnahmen, nicht aus dem Advisory: Geschützte Ansicht und Makro-Einschränkungen aktiviert lassen und Tabellenanhänge von unbekannten Absendern bis zum Patch am Mail-Gateway filtern.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung wurde keine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Microsoft-Temporalvektor E:U (Reifegrad des Exploit-Codes: Unproven), RL:O, RC:C.
• Zum Zeitpunkt der Erstellung nicht als Eintrag im CISA-KEV-Katalog verifiziert.

Unsere Empfehlung

• Das Microsoft-Advisory lesen und die behobenen Builds für jedes eingesetzte Office-Produkt installieren.
• Falls SharePoint oder Office Online Server genutzt werden, vor der Installation den Patch-Stand der Farm und die Ordnerberechtigungen prüfen.
• Makro- und Geschützte-Ansicht-Einschränkungen beibehalten und Tabellenanhänge bis zum Patch am Mail-Gateway filtern.
• Zusammen mit den anderen am selben Tag veröffentlichten Excel-Speicherkorruptions-CVEs patchen.
• Den CISA-KEV-Katalog und die NVD in den nächsten Tagen erneut prüfen, da sich der Status ändern kann.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide msrc.microsoft.com
• CVE.org CNA record www.cve.org
• VulDB CVE-2026-118726 entry vuldb.com
• Strix CVE-2026-118726 (third-party) www.strix.ai
• SharePoint November 2026 PU fixes (third-party blog) blog.stefan-gossner.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:45.