Microsoft Office Excel: Remote Code Execution über Out-of-Bounds-Read
Zusammenfassung
Microsoft Office Excel enthält eine Out-of-Bounds-Read-Schwachstelle (CWE-125), die Remote Code Execution erlaubt. Ein nicht authentifizierter Angreifer kann eine präparierte Excel-Datei über das Netzwerk senden, und der Angriff erfordert, dass ein Benutzer die Datei öffnet oder in der Vorschau anzeigt. Microsoft und NVD bewerten die Schwachstelle mit CVSS 8.8 (hoch). Laut CISA-SSVC-Daten ist keine bekannte Ausnutzung vorhanden.
Betroffen
- Microsoft 365 Apps for Enterprise (16.0, 32- und 64-Bit)
- Microsoft Office 365 für Mac: 1.0.0 vor 16.114.26101123
- Microsoft Office LTSC 2021: 16.0.1 vor 16.0.14334.20974 (Versionsgrenze aus Drittquelle, unverifiziert)
- Microsoft Office LTSC 2024: 16.0.0 vor 16.0.17932.21056 (Versionsgrenze aus Drittquelle, unverifiziert)
Behoben in
- Sicherheitsupdates sind im MSRC-Advisory aufgeführt. Genaue Builds pro Produkt vor dem Rollout auf der MSRC-Seite bestätigen.
- Windows-Editionen: MSRC verlinkt ein Update für Office LTSC 2024 (64-Bit) und nennt das Veröffentlichungsdatum 13. Oktober 2026 für die übrigen Editionen.
- Office LTSC für Mac 2021 und 2024: noch kein Fix verfügbar. Microsoft wird Kunden bei Veröffentlichung informieren.
Umgehung
- In den abgerufenen Quellen ist kein Workaround dokumentiert.
- Geschützte Ansicht und Blockierung von Anhängen aktiviert lassen.
- Eingehende Excel-Dateien von externen Absendern filtern oder in einer Sandbox prüfen.
- Vorschaufenster in Outlook für unbekannte E-Mails einschränken, soweit praktikabel.
Ausnutzung
- CISA SSVC: Ausnutzung none, automatisierbar nein.
- Microsoft bewertet die Reife des Exploit-Codes als Unproven (E:U).
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden. Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
Unsere Empfehlung
- Microsoft 365 Apps und Office LTSC im nächsten Patch-Zyklus aktualisieren, mit Priorität auf E-Mail-exponierte und ungepatchte Systeme.
- Genaue Fix-Builds auf der MSRC-Seite prüfen und die eigenen Office-Buildnummern kontrollieren.
- Office-LTSC-Systeme für Mac bis zur Veröffentlichung eines Fixes von unbekannten Dateien isolieren.
- Excel-Dateien von externen Absendern einschränken und auf verdächtige Anhänge achten.
- CISA-KEV und Exploit-Status vor dem nächsten Patch-Review erneut prüfen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC advisory CVE-2026-70254 msrc.microsoft.com
- OpenCVE CVE-2026-70254 app.opencve.io
- ZDI October 2026 security update review www.zerodayinitiative.com
- Strix CVE-2026-70254 (third-party version data) www.strix.ai
- VulDB entry 418697 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:51.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.