Microsoft Office Excel: Remote Code Execution durch Deserialisierung nicht vertrauenswürdiger Daten

Zusammenfassung

Eine Schwachstelle bei der Deserialisierung in Microsoft Office Excel erlaubt die Ausführung von Code auf dem betroffenen System. Gemäss CNA-Eintrag handelt es sich um einen physischen Angriff, für den keine Berechtigungen nötig sind, jedoch eine Benutzerinteraktion erforderlich ist, was einer manipulierten Datei entspricht, die ein Benutzer öffnet. Die Beschreibung von Microsoft und der CVSS-Vektor sind ungewöhnlich und widersprechen einem Drittbericht, daher sind die genauen Angriffsbedingungen nicht vollständig bestätigt. Die NVD-Analyse war zum Zeitpunkt der Erstellung noch ausstehend.

Betroffen

• Microsoft 365 Apps for Enterprise (32- und 64-Bit), ab 16.0.1, vor dem unter https://aka.ms/OfficeSecurityReleases aufgeführten Build (genauer Build unbekannt)
• Microsoft Office 365 für Mac, ab 1.0.0 vor 16.115.26110837
• Microsoft Office LTSC 2021 (32- und 64-Bit), ab 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC für Mac 2021, ab 16.0.1 vor 16.115.26110837 (gemäss CNA-Eintrag)
• Microsoft Office LTSC für Mac 2024, ab 16.0.0 vor 16.115.26110837 (gemäss CNA-Eintrag)
• Microsoft Office LTSC 2024: nur bei einem Drittanbieter-Aggregator aufgeführt (vor 16.0.17932.21140), nicht verifiziert
• Office 2016, 2019 und Office 2021 (nicht LTSC): nicht aufgeführt; Status unbekannt

Behoben in

• Die Sicherheitsaktualisierung für Microsoft 365 / Office vom November 2026 installieren
• Office LTSC 2021: Build 16.0.14334.21048 oder neuer
• Office für Mac: Build 16.115.26110837 oder neuer
• Microsoft 365 Apps for Enterprise: Build gemäss MSRC-Advisory (nicht verifiziert)

Umgehung

• In den geprüften Quellen ist keine Workaround dokumentiert.
• Unbekannt, ob Microsoft eine Massnahme zur Schadensbegrenzung veröffentlicht.

Ausnutzung

• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein; eine öffentliche Offenlegung ist nicht bekannt.
• Die von Microsoft bekannte Ausnutzung in der Wildnis in diesem Release betrifft eine andere (Outlook-)Schwachstelle, nicht diese.
• Kein öffentlicher Proof of Concept bekannt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Die Sicherheitsaktualisierung für Microsoft 365 / Office vom November 2026 im regulären monatlichen Zyklus auf allen Systemen mit Excel einspielen.
• Systeme priorisieren, auf denen Mitarbeitende regelmässig externe oder per E-Mail erhaltene Tabellen öffnen.
• Installierte Office-Build-Nummern mit dem Advisory abgleichen.
• Das Blockieren oder Sandboxing von Dateien aus unvertrauenswürdigen Quellen prüfen.
• Den MSRC-FAQ prüfen, um die widersprüchlichen Angaben zum Angriffsvektor zu klären.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-124229 www.cve.org
• Microsoft Security Update Guide msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Strix CVE-2026-124229 (unverified aggregator) www.strix.ai
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Cybersecurity News Microsoft November 2026 Patch Tuesday cybersecuritynews.com
• GBHackers Microsoft November 2026 Patch Tuesday gbhackers.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:42.