Microsoft Office Excel: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Excel erlaubt einem nicht autorisierten Angreifer, über ein Netzwerk Code auszuführen. Der Angriff setzt voraus, dass ein Benutzer eine manipulierte Datei öffnet, etwa eine per E-Mail oder Download erhaltene Tabellenkalkulation. Es sind keine Berechtigungen und kein aus dem Internet erreichbarer Dienst nötig, und ein erfolgreicher Angriff könnte die Sitzung und die Daten des Benutzers kompromittieren.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis vor dem Build, der unter https://aka.ms/OfficeSecurityReleases aufgeführt ist
• Office 365 für Mac: 1.0.0 bis vor 16.115.26110837
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140
• Office LTSC für Mac 2021: 16.0.1 bis vor 16.115.26110837
• Office LTSC für Mac 2024: 16.0.0 bis vor 16.115.26110837
• Office Online Server: 16.0.0.0 bis vor 16.0.10417.20236 (im CVE-Eintrag aufgeführt, auf MSRC zu verifizieren)

Behoben in

• Office LTSC 2021: 16.0.14334.21048
• Office 365 für Mac und LTSC für Mac: 16.115.26110837
• Office LTSC 2024: 16.0.17932.21140 (auf MSRC zu verifizieren)
• Microsoft 365 Apps for Enterprise: Unbekannt; siehe das MSRC-Advisory und https://aka.ms/OfficeSecurityReleases
• Office Online Server: Unbekannt; auf MSRC zu verifizieren
• Die Korrektur wurde im Patch Day vom November 2026 veröffentlicht.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers identifiziert. Das November-2026-Sicherheitsupdate für Office installieren.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung sind kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt.
• Die temporalen Metriken des Herstellers lauten Exploit Code Maturity Unproven (E:U) und Report Confidence Confirmed (RC:C).
• NVD-Status zum Zeitpunkt der Veröffentlichung: Awaiting Analysis.

Unsere Empfehlung

• Microsoft 365 Apps, Office LTSC und Office für Mac auf allen Windows- und Mac-Endgeräten im Update-Zyklus vom November 2026 installieren (Priorität: hoch).
• Benutzer priorisieren, die regelmässig externe Tabellenkalkulationen öffnen.
• Prüfen, ob Office Online Server eingesetzt wird, und in diesem Fall den Fix-Build auf MSRC verifizieren.
• Mitarbeitende vor unerwarteten Tabellenanhängen und Downloads warnen.
• CISA KEV und den NVD-Eintrag auf Änderungen beim Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-120788 msrc.microsoft.com
• CVE.org CVE Record: CVE-2026-120788 www.cve.org
• Microsoft November 2026 Patch Tuesday (Cybersecurity News) cybersecuritynews.com
• Strix AI: CVE-2026-120788 (third-party, unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:32.