Microsoft Office Excel: Remote Code Execution durch Heap-based Buffer Overflow

Zusammenfassung

Ein Heap-based Buffer Overflow (CWE-122) in Microsoft Excel, einem Bestandteil von Microsoft 365 Apps, Office LTSC und Office für Mac, erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angreifer benötigt dafür, dass ein Opfer eine präparierte Arbeitsmappe öffnet, zum Beispiel eine per E-Mail erhaltene oder aus dem Internet heruntergeladene Datei. Eine erfolgreiche Ausnutzung würde Code im Kontext des Benutzers ausführen und hat hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 3.1: 8.8).

Betroffen

• Microsoft 365 Apps for Enterprise: ab 16.0.1 (genauer Bereich gemäss Microsoft-Advisory)
• Office 365 für Mac: vor 16.115.26110837
• Office LTSC 2021: vor 16.0.14334.21048
• Office LTSC 2024: ab 16.0.0, behobene Version unbestätigt (siehe Behoben)
• Office LTSC für Mac 2021 und 2024: vor 16.115.26110837 (gemäss Drittanbieter-Tracker, unbestätigt)
• Office Online Server: ab 16.0.0.0, vor 16.0.10417.20236 (gemäss Drittanbieter-Tracker, unbestätigt)

Behoben in

• Microsoft 365 Apps for Enterprise: behobener Build gemäss der Seite mit den Office-Sicherheitsupdates von Microsoft (Build-Nummer nicht bestätigt)
• Office 365 für Mac: 16.115.26110837
• Office LTSC 2021: 16.0.14334.21048
• Office LTSC 2024: 16.0.17932.21140 (aus Drittanbieter-Trackern, unbestätigt)
• Office LTSC für Mac 2021 und 2024: 16.115.26110837 (unbestätigt)
• Office Online Server: 16.0.10417.20236 (unbestätigt)

Umgehung

Unbekannt. In den geprüften Quellen ist keine Workaround- oder Mitigationsmassnahme dokumentiert. Das Patchen ist die Behebung.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn für diese CVE gefunden.
• Der CVE-Eintrag von Microsoft führt den Exploit-Code-Reifegrad als unbewiesen (E:U).
• Kein öffentlicher Proof of Concept gefunden.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog gelistet.

Unsere Empfehlung

• Microsoft 365 Apps und Office LTSC auf die behobenen Builds des November-2026-Updates aktualisieren; die genauen Build-Nummern gemäss Microsoft-Advisory prüfen.
• Systeme priorisieren, die externe Tabellen von Kunden, Lieferanten oder per E-Mail erhalten.
• Bis zur Aktualisierung den geschützten Modus für Dateien aus dem Internet oder aus E-Mails aktiviert lassen, Makros einschränken und Tabellen von unbekannten Absendern in Quarantäne halten.
• CISA-KEV-Katalog und NVD auf Änderungen des Ausnutzungsstatus prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-120786 msrc.microsoft.com
• CVE Record CVE-2026-120786 (CVE.org) www.cve.org
• Strix: CVE-2026-120786 (third-party, unverified builds) www.strix.ai
• Microsoft November 2026 Patch Tuesday overview (Cybersecurity News) cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:32.