Microsoft Office Word: Remote Code Execution über manipulierte Datei

Zusammenfassung

Eine Verwendung nicht initialisierter Ressourcen in Microsoft Office Word erlaubt einem Angreifer, Code auf dem betroffenen System über das Netzwerk auszuführen. Der Angreifer muss dem Benutzer eine manipulierte Office-Datei senden und ihn zum Öffnen bewegen, weshalb E-Mail-Anhänge und heruntergeladene Dokumente das Hauptrisiko darstellen. Der Code läuft mit den Rechten des Benutzers, und ein erfolgreicher Angriff hängt von der Umgebung, der Systemkonfiguration und weiteren Sicherheitsmassnahmen ab. Microsoft stuft die Schwachstelle als Critical ein, während der CVSS-3.1-Basiswert 7.5 (High) beträgt.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 vor dem in https://aka.ms/OfficeSecurityReleases aufgeführten korrigierten Build
• Microsoft Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.0 vor 16.0.17932.21140
• Office 2019, Office 2016 und Mac-Builds: Unbekannt.

Behoben in

• Microsoft 365 Apps for Enterprise: Korrigierter Build in den Quellen nicht bestätigt; im MSRC-Advisory prüfen.
• Microsoft Office LTSC 2021: 16.0.14334.21048 und neuer
• Microsoft Office LTSC 2024: 16.0.17932.21140 und neuer
• Korrektur veröffentlicht am 10. November 2026 (Patch Tuesday).

Umgehung

Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden. Im MSRC-Advisory nach Massnahmen suchen.

• Übergangsmassnahme: Geschützte Ansicht und Makros nur für vertrauenswürdige Dateien aktiviert lassen und Office-Anhänge von unbekannten Absendern blockieren oder in Quarantäne verschieben.

Ausnutzung

• Action1 gibt an, dass die Schwachstelle nicht als aktiv ausgenutzt bekannt ist und vor der Korrektur nicht öffentlich bekannt gemacht wurde.
• Talos nennt diese CVE unter vier Word-CVEs in einem Monat mit einer ausgenutzten Schwachstelle, ohne diese zu benennen. Der Ausnutzungsstatus ist nicht bestätigt.
• CISA KEV: Nicht durch direkte Prüfung bestätigt.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.

Unsere Empfehlung

• Alle betroffenen Office-LTSC- und Microsoft-365-Apps-Installationen am Patch-Tuesday-Tag patchen; bei Microsoft 365 Apps den korrigierten Build im MSRC-Advisory prüfen.
• Bis zur Korrektur Office-Anhänge von unbekannten Absendern blockieren oder in Quarantäne verschieben und die Geschützte Ansicht für Dateien von ausserhalb der Organisation aktiv lassen.
• Im MSRC-Advisory das Feld "Exploited" und allfällige Massnahmen prüfen.
• Lokale Admin-Rechte und Zugriffe auf Dateifreigaben einschränken, um die Auswirkungen einer Codeausführung zu begrenzen.
• Auf verdächtige Word-Prozessaktivitäten und unerwartete Kindprozesse achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-124185 msrc.microsoft.com
• CVE Record CVE-2026-124185 www.cve.org
• Action1: Patch Tuesday November 2026 www.action1.com
• Talos: Microsoft Patch Tuesday for November 2026 blog.talosintelligence.com
• Strix: CVE-2026-124185 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:15.