Microsoft Office: Remote Code Execution durch Heap-based Buffer Overflow

Zusammenfassung

Ein Heap-based Buffer Overflow in Microsoft Office erlaubt einem nicht authentifizierten entfernten Angreifer, Code auf dem betroffenen Rechner auszuführen. Dafür muss ein Benutzer manipulierte Inhalte öffnen oder verarbeiten, zum Beispiel ein per E-Mail erhaltenes oder aus dem Internet heruntergeladenes Dokument. Der CVSS-Basiswert beträgt 8.8 (Hoch), mit vollständigem Verlust von Vertraulichkeit, Integrität und Verfügbarkeit des lokalen Systems. Microsoft meldet zum Zeitpunkt der Erfassung weder Ausnutzung in freier Wildbahn noch öffentlich verfügbaren Proof-of-Concept-Code.

Betroffen

• Microsoft 365 Apps for Enterprise ab 16.0.1 (genaues Ende des Bereichs: siehe Microsoft-Advisory)
• Microsoft Office 365 für Mac ab 1.0.0 vor 16.115.26110837
• Microsoft Office LTSC 2021 ab 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC 2024 ab 16.0.0 vor 16.0.17932.21140 (nicht durch CNA-Eintrag bestätigt)
• Microsoft Office LTSC für Mac 2021 ab 16.0.1 vor 16.115.26110837
• Microsoft Office LTSC für Mac 2024 ab 16.0.0 vor 16.115.26110837 (am wenigsten gesichert, prüfen)

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt, siehe Seite der Microsoft Office Security Releases (aka.ms/OfficeSecurityReleases)
• Office 365 für Mac: 16.115.26110837
• Office LTSC 2021: 16.0.14334.21048
• Office LTSC 2024: 16.0.17932.21140 (laut Drittanbieter-Trackern, bei Microsoft prüfen)
• Office LTSC für Mac 2021 und 2024: 16.115.26110837 (laut Drittanbieter-Trackern, bei Microsoft prüfen)

Umgehung

• Unbekannt. Keine vom Hersteller veröffentlichte Massnahme gefunden; Sicherheitsupdate installieren.
• Allgemeine Praxis: Anhänge von unbekannten Absendern nicht öffnen und den Geschützten Ansicht (Protected View) aktiviert lassen.

Ausnutzung

• Ausnutzung in freier Wildbahn: Keine Hinweise gefunden.
• Öffentlicher Proof-of-Concept: Keiner gefunden.
• Status im CISA KEV: Unbekannt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Die Microsoft 365- und Office-Sicherheitsupdates vom November 2026 jetzt auf allen Windows- und Mac-Clients installieren.
• Die genaue Fixversion pro Kanal im Microsoft Security Update Guide prüfen und die installierten Versionen verifizieren.
• Bis zur Installation das Öffnen von Dokumenten unbekannter Absender einschränken und Protected View aktiviert lassen.
• Auf Anzeichen einer Ausnutzung achten und das gesamte November-Office-Update als eine Verteilung behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-120003 www.cve.org
• MSRC Security Update Guide advisory msrc.microsoft.com
• MSRC Security Update Guide msrc.microsoft.com
• Threatint mirror (version data) cve.threatint.com
• Strix CVE-2026-120003 www.strix.ai
• BleepingComputer Patch Tuesday coverage www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:33.