Microsoft Office Excel: Use-after-free führt zu Remote Code Execution

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in Microsoft Office Excel erlaubt es einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Die Ausnutzung setzt voraus, dass ein Benutzer eine präparierte Datei öffnet, zum Beispiel eine per E-Mail erhaltene oder aus dem Internet heruntergeladene Datei. Der CVSS-Basiswert beträgt 8.8 (hoch).

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis vor dem korrigierten Build (Build-Nummer unbekannt, siehe MSRC)
• Office 365 für Mac: 1.0.0 bis vor 16.115.26110837
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140 (Quelle eines Drittanbieters, unverifiziert)
• Office LTSC für Mac 2021: 16.0.1 bis vor 16.115.26110837
• Office LTSC für Mac 2024: 16.0.0 bis vor 16.115.26110837
• Office Online Server: 16.0.0.0 bis vor 16.0.10417.20236
• SharePoint: nicht bestätigt, bei MSRC prüfen

Behoben in

• Office 365 für Mac: 16.115.26110837
• Office LTSC 2021: 16.0.14334.21048
• Office LTSC für Mac 2021 und 2024: 16.115.26110837
• Office LTSC 2024: 16.0.17932.21140 (unverifiziert)
• Office Online Server: 16.0.10417.20236
• Microsoft 365 Apps for Enterprise: Unbekannt (siehe die Freigabeseite von Microsoft)

Umgehung

• Unbekannt. Es wurde kein Workaround des Herstellers identifiziert.
• Bis zur Installation des Patches: keine unbekannten Tabellen aus E-Mails oder Downloads öffnen (allgemeine Härtungsempfehlung, für diese CVE nicht durch eine Quelle bestätigt).

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird. Das CISA SSVC bewertet die Ausnutzung mit none.
• Kein öffentlicher Proof of Concept gefunden.
• Der zeitliche CVSS-Vektor enthält E:U (unbewiesene Reife des Exploit-Codes).
• Eintrag im CISA-KEV-Katalog nicht verifiziert.

Unsere Empfehlung

• Die Sicherheitsupdates von Microsoft vom November 2026 vorrangig auf allen Systemen mit Excel einspielen, besonders dort, wo Mitarbeitende Rechnungen oder Tabellen von extern öffnen.
• Die installierte Build-Nummer auf jedem Endpunkt mit dem MSRC-Advisory abgleichen.
• Im MSRC-Advisory die Auswirkungen auf SharePoint und allfällige Zwischenmassnahmen prüfen.
• Mitarbeitende darauf hinweisen, keine unerwarteten Tabellen aus E-Mails oder Downloads zu öffnen, und auf verdächtige Excel-Aktivitäten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org CNA record www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• Strix aggregator entry www.strix.ai
• Threat intel mirror cve.threatint.com
• Patch Tuesday coverage, November 2026 cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:41.