Microsoft Office Excel: Remote Code Execution über Heap-basiertes Buffer Overflow

Zusammenfassung

Ein Heap-basiertes Buffer Overflow in Microsoft Excel, einem Bestandteil von Microsoft 365 Apps, der LTSC-Office-Versionen und Office für Mac, erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auf einem verwundbaren System auszuführen. Voraussetzung ist, dass ein Benutzer eine schädliche Excel-Datei öffnet, die typischerweise per E-Mail oder Dateifreigabe zugestellt wird. Microsoft meldet für diese CVE keine Ausnutzung in freier Wildbahn, und der CVSS-Basiswert beträgt 7.5 mit hoher Angriffskomplexität.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum behobenen Build (genauer behobener Build unbekannt)
• Office 365 for Mac: 1.0.0 vor 16.115.26110837
• Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (nicht verifiziert)
• Office LTSC for Mac 2021: 16.0.1 vor 16.115.26110837
• Office LTSC for Mac 2024: 16.0.0 vor 16.115.26110837
• Office Online Server: 16.0.0.0 vor 16.0.10417.20236
• Andere Office-Versionen: unbekannt, MSRC-Tabelle prüfen

Behoben in

• Die Office-Sicherheitsupdates vom November 2026 für die oben aufgeführten betroffenen Builds installieren.
• Behobener Build für Microsoft 365 Apps: unbekannt, siehe https://aka.ms/OfficeSecurityReleases und die MSRC-Tabelle.
• Das kumulative Windows-Update allein behebt diese Lücke nicht.

Umgehung

• Keine vom Hersteller dokumentierte Workaround bekannt.
• Generische Übergangsmassnahme: nicht vertrauenswürdige Excel-Dateien aus E-Mails und Downloads blockieren oder in einer Sandbox öffnen, externe Inhalte und Makros bei Dateien unbekannter Absender einschränken.

Ausnutzung

• Die Ausnutzbarkeitsbewertung von Microsoft lautet E:U (nicht erprobt); es ist keine Ausnutzung gemeldet.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Kein öffentlicher Proof-of-Concept bekannt.
• Ob die Vorschau im Explorer ein Angriffsvektor ist, ist unbekannt.

Unsere Empfehlung

• Die Office-Sicherheitsupdates vom November 2026 für Microsoft 365 Apps, LTSC 2021 und LTSC 2024 installieren und den Build mit der MSRC-Tabelle abgleichen.
• Office-Builds auf allen Endgeräten inventarisieren, einschliesslich Mac.
• Bis zur Behebung Excel-Dateien von unbekannten Absendern blockieren oder in einer Sandbox öffnen sowie Makros und externe Inhalte einschränken.
• Mitarbeitende priorisieren, die externe Dateien bearbeiten, und Mail- und Dateigateways prüfen.
• MSRC-Seite und NVD auf Änderungen bei Ausnutzungsstatus oder behobenen Builds prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-124170 msrc.microsoft.com
• CVE.org CVE Record CVE-2026-124170 www.cve.org
• Strix: CVE-2026-124170 www.strix.ai
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• NT Compatible: Microsoft November 2026 Patch Tuesday www.ntcompatible.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:16.