Microsoft Excel: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Excel, Bestandteil von Microsoft 365 Apps und Office LTSC, erlaubt einem unautorisierten Angreifer, über das Netzwerk Code auszuführen. Gemäss CVSS-Vektor muss ein Benutzer eine manipulierte Excel-Datei öffnen, zum Beispiel aus einem E-Mail-Anhang oder Download. Bei erfolgreicher Ausnutzung würde Code im Kontext des Benutzers ausgeführt. Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung bekannt.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (genauer Build unbekannt)
• Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140
• Office LTSC für Mac 2021: 16.0.1 vor 16.115.26110837
• Office LTSC für Mac 2024: 16.0.0 vor 16.115.26110837
• Office Online Server: 16.0.0.0 vor 16.0.10417.20236

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt. Die Versionshinweise der Microsoft-Office-Sicherheitsupdates prüfen.
• Office 365 für Mac und Office LTSC für Mac 2021/2024: 16.115.26110837
• Office LTSC 2021: 16.0.14334.21048
• Office LTSC 2024: 16.0.17932.21140
• Office Online Server: 16.0.10417.20236

Umgehung

• Unbekannt. In den verfügbaren Quellen wurde kein Workaround des Herstellers gefunden. Die MSRC-Meldung prüfen.
• Bis zur Korrektur Excel-Dateien von unbekannten Absendern blockieren oder in Quarantäne halten und den geschützten Ansicht für Internetdateien aktiviert lassen (allgemeine Praxis, nicht aus einer Quelle).

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung bekannt. Die CVSS-Reife des Exploit-Codes ist mit 'unbewiesen' angegeben.
• Kein öffentlicher PoC, kein Eintrag im CISA KEV und keine Berichte über Angriffe in freier Wildbahn gefunden. Die NVD-Analyse ist ausstehend.

Unsere Empfehlung

• Microsoft 365- und Office-LTSC-Clients zeitnah patchen.
• Jede Office-Online-Server-Instanz priorisieren, insbesondere wenn sie aus dem Internet erreichbar ist.
• E-Mail-Filterung für Excel-Anhänge überprüfen.
• Die verwandten CVEs CVE-2026-120791 und CVE-2026-120788 im selben Patch-Zyklus prüfen.
• CISA KEV und die MSRC-Seite auf Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-120790 (CVE.org) www.cve.org
• Microsoft Security Update Guide CVE-2026-120790 msrc.microsoft.com
• Strix CVE-2026-120790 (third-party mirror) www.strix.ai
• Strix CVE-2026-120791 (related Excel CVE) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:28.