Microsoft Office Excel: Out-of-Bounds-Read führt zu Informationspreisgabe

Zusammenfassung

Ein Out-of-Bounds-Read in Microsoft Excel, einem Bestandteil mehrerer Microsoft-Office-Versionen, erlaubt einem nicht autorisierten Angreifer über das Netzwerk die Preisgabe von Informationen. Typischerweise muss ein Benutzer eine präparierte Tabelle öffnen, zum Beispiel einen E-Mail-Anhang oder einen Download, bevor die Schwachstelle ausgelöst werden kann. Der CVSS-Vektor bewertet nur die Vertraulichkeit als hoch, die Schwachstelle erlaubt daher keine Codeausführung. Microsoft hat Korrekturen in den Updates vom November 2026 veröffentlicht.

Betroffen

• Microsoft 365 Apps for Enterprise: ab 16.0.1, vor einem korrigierten Build (genauer Build unbekannt, siehe Herstellerhinweis)
• Microsoft Office 365 für Mac: ab 1.0.0 vor 16.115.26110837
• Microsoft Office LTSC 2021: ab 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC 2024: ab 16.0.0 vor 16.0.17932.21140 (Sekundärquelle, noch nicht von Microsoft bestätigt)
• Microsoft Office LTSC für Mac 2021 und 2024: vor 16.115.26110837 (Sekundärquelle)
• Microsoft Office Online Server: ab 16.0.0.0 vor 16.0.10417.20236 (Sekundärquelle)

Behoben in

• Microsoft Office 365 für Mac: 16.115.26110837 oder neuer
• Microsoft Office LTSC 2021: 16.0.14334.21048 oder neuer
• Microsoft 365 Apps for Enterprise: Unbekannt, siehe Microsoft-Hinweis zum Update vom November 2026
• Microsoft Office LTSC 2024, LTSC für Mac und Office Online Server: siehe die oben genannten korrigierten Builds, bitte im Microsoft Security Update Guide verifizieren

Umgehung

Unbekannt. Microsoft hat keine Workaround-Massnahme bestätigt. Die Installation der Office-Sicherheitsupdates vom November 2026 ist die empfohlene Korrektur.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Die Reife des Exploit-Codes ist im CVSS-Vektor mit Unproven (E:U) bewertet.
• Es wurden kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden.
• Rapid7 stuft die Schwachstelle als Exploitation Less Likely ein.

Unsere Empfehlung

• Installieren Sie die Microsoft-Office-Sicherheitsupdates vom November 2026 über Ihren üblichen Kanal (Microsoft-365-Updatekanal, WSUS/Intune oder LTSC-Installer).
• Priorisieren Sie Computer, auf denen regelmässig externe Tabellen geöffnet werden.
• Lassen Sie die geschützte Ansicht aktiviert und seien Sie bei Tabellen von unbekannten Absendern vorsichtig, bis die Korrektur installiert ist.
• Prüfen Sie im Microsoft Security Update Guide, welcher korrigierte Build für Ihr Produkt gilt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118727 msrc.microsoft.com
• CVE Record: CVE-2026-118727 www.cve.org
• Microsoft 365 Apps security updates learn.microsoft.com
• Rapid7: November 2026 Patch Tuesday analysis www.rapid7.com
• Strix: CVE-2026-118727 (secondary data) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:11.