Microsoft Office Excel: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Office Excel erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte Excel-Datei öffnet, zum Beispiel einen E-Mail-Anhang oder ein heruntergeladenes Dokument. Der Angreifer benötigt keine Berechtigungen, und ein erfolgreicher Angriff kann die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems beeinträchtigen.

Betroffen

• Microsoft 365 Apps for Enterprise (32-bit und x64): ab 16.0.1 vor dem in Microsofts Sicherheitsupdate-Seite genannten Build
• Microsoft Office 365 für Mac: ab 1.0.0 vor 16.115.26110837
• Office LTSC 2021 (32-bit und x64): ab 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024 (32-bit und x64): betroffen, fixer Build im primären CVE-Eintrag nicht bestätigt
• Office LTSC für Mac 2021 und 2024, Office Online Server: nur durch einen sekundären Aggregator aufgeführt, nicht durch den CVE-Eintrag bestätigt

Behoben in

• Office LTSC 2021: 16.0.14334.21048
• Office 365 für Mac: 16.115.26110837
• Office LTSC 2024: nicht bestätigt; ein Aggregator nennt 16.0.17932.21140
• Microsoft 365 Apps for Enterprise: Unbekannt, auf MSRC prüfen
• Office LTSC für Mac und Office Online Server: Aggregator nennt 16.115.26110837 beziehungsweise 16.0.10417.20236, nicht bestätigt

Umgehung

Unbekannt.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; CVSS-Exploit-Reife ist E:U (Unproven)
• CISA KEV nicht geprüft
• Kein öffentlicher Proof of Concept gefunden
• Veröffentlicht am 10.11.2026, daher wenig Zeit für öffentliche Analysen

Unsere Empfehlung

• Sicherheitsupdates für Office-Clients im nächsten regulären Update-Zyklus installieren und die fixen Builds vor dem Rollout auf MSRC verifizieren
• Prüfen, ob Office LTSC 2024, Office Online Server und Mac-Builds im Einsatz und betroffen sind
• Protected View und Richtlinien zum Blockieren von Anhängen aktiviert lassen; Makros und externe Inhalte für Dateien von ausserhalb der Organisation einschränken
• NVD (Analyse ausstehend) und CISA KEV auf Änderungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-120785 msrc.microsoft.com
• CVE Record CVE-2026-120785 www.cve.org
• Strix CVE summary CVE-2026-120785 www.strix.ai
• VulDB entry 434115 (Excel product classification) vuldb.com
• Microsoft November 2026 Patch Tuesday overview cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:31.