Microsoft Office Excel: Remote Code Execution durch heap-basierten Pufferüberlauf

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Excel erlaubt es einem nicht autorisierten Angreifer, über ein Netzwerk Code auszuführen. Voraussetzung ist, dass ein Benutzer eine manipulierte Tabellenkalkulation öffnet, typischerweise per E-Mail oder Download. Der CVSS-v3.1-Basiswert beträgt 8.8 (Hoch), und Microsoft hat Korrekturen mit dem Patch Tuesday im November 2026 veröffentlicht.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (genauer Build im MSRC-Advisory zu bestätigen)
• Microsoft Office 365 für Mac: 1.0.0 bis vor 16.115.26110837
• Microsoft Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140 (nicht verifizierte Drittanbieterdaten)
• Microsoft Office LTSC für Mac 2021 und 2024: vor 16.115.26110837 (nicht verifizierte Drittanbieterdaten)
• Microsoft Office Online Server: 16.0.0.0 bis vor 16.0.10417.20236 (nicht verifizierte Drittanbieterdaten)

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt, siehe https://aka.ms/OfficeSecurityReleases
• Microsoft Office 365 für Mac: 16.115.26110837
• Microsoft Office LTSC 2021: 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.17932.21140 (nicht verifiziert, mit MSRC prüfen)
• Microsoft Office LTSC für Mac 2021 und 2024: 16.115.26110837 (nicht verifiziert, mit MSRC prüfen)
• Microsoft Office Online Server: 16.0.10417.20236 (nicht verifiziert, mit MSRC prüfen)

Umgehung

Unbekannt. Ausser dem Einspielen des Patches wurde kein Workaround des Herstellers identifiziert.

Ausnutzung

Zum Zeitpunkt der Erfassung wurden keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden. Der CVE-Eintrag führt die Exploit Code Maturity als Unproven (E:U). Der Status im CISA KEV wurde nicht geprüft.

Unsere Empfehlung

• Die Office-Updates vom November 2026 auf allen Microsoft-365- und LTSC-Clients installieren und danach die Build-Nummern mit der MSRC-Tabelle abgleichen.
• Den geschützten Modus für Dateien aus dem Internet und aus E-Mails aktiviert lassen und Makros aus nicht vertrauenswürdigen Quellen einschränken.
• Auf Berichte zur Ausnutzung achten und CISA KEV sowie NVD erneut prüfen, sobald die NVD-Analyse abgeschlossen ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center advisory CVE-2026-124174 msrc.microsoft.com
• CVE Record CVE-2026-124174 www.cve.org
• Strix CVE-2026-124174 (third-party, unverified builds) www.strix.ai
• VulDB Excel vulnerability (product context) vuldb.com
• Cybersecurity News: Microsoft November 2026 Patch Tuesday cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:11.