Microsoft Office Word: Heap-basierter Pufferüberlauf ermöglicht Codeausführung

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Word, Bestandteil von Microsoft 365 Apps, Office 365 für Mac sowie Office LTSC 2021 und 2024, kann von einem Angreifer zur Ausführung von Code missbraucht werden. Gemäss CVSS-Vektor (AV:L) setzt der Angriff lokalen Zugriff, keine Berechtigungen und eine Benutzerinteraktion voraus, typischerweise durch das Öffnen eines präparierten Dokuments. Der Herstellertitel nennt Remote Code Execution, und ein nicht verifizierter Drittanbietereintrag beschreibt eine Netzwerkausnutzung; der Angriffsvektor sollte deshalb im MSRC-Advisory bestätigt werden. Microsoft meldet keine öffentliche Bekanntgabe und keine bekannte Ausnutzung.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zu den korrigierten Releases
• Office 365 für Mac: vor 16.114.26101123
• Office LTSC 2021: 16.0.1 vor 16.0.14334.20974
• Office LTSC 2024: 16.0.0 vor 16.0.17932.21056
• Office LTSC für Mac 2021 und 2024: vor 16.114.26101123

Behoben in

• Installation des Sicherheitsupdates vom Oktober 2026 (13. Oktober 2026).
• Am selben Tag ausgelieferte Builds gemäss Microsoft-Versionshinweisen: Current Channel 2609 Build 20430.20182; Monthly Enterprise Channel 2609 20430.20180, 2608 20326.20232, 2607 20228.20276; Office LTSC 2024 17932.21056; Office LTSC 2021 14334.20974.
• Die minimalen korrigierten Builds je Produkt sollten im MSRC-Advisory überprüft werden.

Umgehung

• Unbekannt. In den geprüften Quellen wurde kein Workaround des Herstellers gefunden.
• Allgemeine Massnahmen, keine dokumentierten Gegenmassnahmen für diese CVE: Geschützte Ansicht für Dateien aus dem Internet oder aus E-Mails aktiviert lassen und Makros sowie Anhänge einschränken, soweit der Betrieb dies erlaubt.

Ausnutzung

• Microsoft: nicht öffentlich bekannt, nicht ausgenutzt, Ausnutzung weniger wahrscheinlich.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Das Office-Update vom Oktober 2026 auf allen betroffenen Installationen einspielen.
• Office-LTSC-2021-Installationen priorisieren, da nach Oktober 2026 keine weiteren Sicherheitsupdates mehr erscheinen.
• Microsoft 365 Apps auf Windows 10 auf Build 2608 (20326.20232) oder neuer prüfen.
• Angriffsvektor und minimale Builds im MSRC-Advisory verifizieren.
• Das Öffnen unbekannter Anhänge einschränken und auf verdächtige Word-Dokumente achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC advisory CVE-2026-70220 msrc.microsoft.com
• NVD mirror (OpenCVE) CVE-2026-70220 app.opencve.io
• Microsoft 365 Apps security updates (release notes) learn.microsoft.com
• Microsoft 365 Apps update history by date learn.microsoft.com
• CNA record mirror (Vulners) vulners.com
• VulDB entry 418243 vuldb.com
• CNNVD entry CNNVD-2026-44964909 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 04:01.