Microsoft Office Excel: Remote Code Execution durch Use-after-Free
Zusammenfassung
Microsoft Office Excel enthält eine Use-after-Free-Schwachstelle (CWE-416). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann Code auf dem betroffenen System ausführen. Gemäss CVSS-Vektor muss ein Benutzer aktiv werden, typischerweise durch das Öffnen einer präparierten Excel-Datei aus einer E-Mail oder einem Download. Der CVSS-Basiswert beträgt 8.8 (hoch).
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (Build in der Quelle nicht angegeben)
- Microsoft Office 365 für Mac: 1.0.0 bis vor 16.115.26110837
- Microsoft Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
- Microsoft Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140
- Microsoft Office LTSC für Mac 2021: 16.0.1 bis vor 16.115.26110837
- Microsoft Office LTSC für Mac 2024: 16.0.0 bis vor 16.115.26110837
Behoben in
Unverifiziert; die Builds stammen von einem Drittanbieter-Spiegel der CNA-Daten und müssen anhand des MSRC-Advisory geprüft werden:
- Microsoft Office LTSC 2021: 16.0.14334.21048 oder neuer
- Microsoft Office LTSC 2024: 16.0.17932.21140 oder neuer
- Office 365 für Mac und LTSC für Mac: 16.115.26110837 oder neuer
- Microsoft 365 Apps for Enterprise: korrigierter Build nicht angegeben; das Office-Sicherheitsupdate vom November 2026 installieren
Umgehung
Unbekannt. Kein vom Hersteller dokumentierter Workaround gefunden. Das Einspielen des Patches ist die Massnahme.
Ausnutzung
- Aktive Ausnutzung: zum Zeitpunkt der Recherche nicht gefunden.
- Öffentlicher Proof of Concept: nicht gefunden.
- Einschätzung der Ausnutzbarkeit durch Microsoft: unbekannt.
Unsere Empfehlung
- Die Office-Sicherheitsupdates vom November 2026 auf allen Installationen von Microsoft 365, Office 2021/2024 und Mac einspielen und die Build-Nummer auf jedem Endgerät prüfen.
- Prüfen, ob Office-Updates zentral verwaltet werden, und den Patch-Stand bestätigen.
- Der geschützten Ansicht für Dateien aus dem Internet bleibt aktiviert; Makros und Anhänge von unbekannten Absendern einschränken.
- Benutzer anweisen, unerwartete Excel-Dateien von unbekannten Absendern nicht zu öffnen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-124187 msrc.microsoft.com
- Strix mirror of CNA record CVE-2026-124187 www.strix.ai
- CyberSecurityNews: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:08.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.