Microsoft Office Excel: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Excel erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-3.1-Score beträgt 8.8 (hoch), und der Vektor setzt keine Berechtigungen, aber eine Benutzerinteraktion voraus, etwa das Öffnen einer manipulierten Tabelle. Die Exponierung erfolgt hauptsächlich über E-Mail-Anhänge und geteilte Dateien. Zum Zeitpunkt der Recherche wurden weder Ausnutzung noch öffentlicher Proof-of-Concept-Code gemeldet.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum behobenen Build (genauer Build nicht bestätigt; siehe MSRC)
• Microsoft 365 für Mac (Office 365 für Mac): 1.0.0 bis vor 16.115.26110837
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140
• Office LTSC für Mac 2021: 16.0.1 bis vor 16.115.26110837
• Office LTSC für Mac 2024: 16.0.0 bis vor 16.115.26110837
• Office Online Server: 16.0.0.0 bis vor 16.0.10417.20236

Hinweis: Drittquellen widersprechen sich bei den Einträgen für Mac und Online Server. Auf MSRC überprüfen.

Behoben in

• Office LTSC 2021: 16.0.14334.21048 (gemäss CNA-Eintrag, zu bestätigen)
• Office LTSC 2024: 16.0.17932.21140 (gemäss CNA-Eintrag, zu bestätigen)
• Office für Mac sowie LTSC für Mac 2021/2024: 16.115.26110837 (gemäss CNA-Eintrag, zu bestätigen)
• Office Online Server: 16.0.10417.20236 (gemäss CNA-Eintrag, zu bestätigen)
• Microsoft 365 Apps for Enterprise: Unbekannt. Siehe MSRC-Versionshinweise.

Umgehung

Eine vom Hersteller dokumentierte Workaround-Massnahme ist nicht bekannt.

• Bis zur Behebung den Geschützten Modus für Dateien aus E-Mails und dem Internet aktiviert lassen.
• Excel-Makros und veraltete Dateiformate sofern geschäftlich möglich blockieren oder einschränken.

Ausnutzung

• Es wurden keine Hinweise auf aktive Ausnutzung oder öffentlichen Proof-of-Concept-Code gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Zum Zeitpunkt der Recherche nicht im CISA KEV aufgeführt.

Unsere Empfehlung

• Die Sicherheitsupdates für Office vom November 2026 auf allen Microsoft-365- und Office-LTSC-Clients installieren, mit Priorität für Postfächer und Finanzprozesse.
• Den genauen behobenen Build für jeden Office-Kanal im MSRC-Advisory bestätigen.
• Mitarbeitende anweisen, unerwartete Tabellen aus E-Mails oder Downloads nicht zu öffnen.
• Auf öffentlichen Proof-of-Concept-Code oder Berichte über Ausnutzung achten und die Priorität bei Bedarf neu bewerten.
• Nach Abschluss der Analyse CISA KEV und NVD prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119986 msrc.microsoft.com
• Strix: CVE-2026-119986 (CNA data mirror) www.strix.ai
• Cybersecurity News: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
• WARP2Search: Microsoft November 2026 Patch Tuesday www.warp2search.net

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:35.