Microsoft Office Word: Pufferüberlauf im Heap ermöglicht Remote Code Execution

Zusammenfassung

Ein Pufferüberlauf im Heap in Microsoft Office Word ermöglicht Remote Code Execution. Ein Angreifer kann Code im Kontext des angemeldeten Benutzers ausführen, indem er ein Opfer dazu bringt, ein manipuliertes Dokument zu öffnen, etwa über eine Phishing-E-Mail. Es sind keine Berechtigungen erforderlich, wohl aber eine Benutzerinteraktion, und CISA bewertet die technische Auswirkung gemäss SSVC als total.

Betroffen

• Microsoft 365 Apps for Enterprise (32- und 64-Bit): 16.0.1 bis zum korrigierten Build (genaue Obergrenze: siehe MSRC-Advisory)
• Office 365 für Mac: 1.0.0 bis < 16.114.26101123
• Office LTSC 2021 (32- und 64-Bit): 16.0.1 bis < 16.0.14334.20974
• Office LTSC 2024 (32- und 64-Bit): 16.0.0 bis < 16.0.17932.21056
• Office LTSC für Mac 2021: 16.0.1 bis < 16.114.26101123
• Office LTSC für Mac 2024: 16.0.0 bis < 16.114.26101123

Behoben in

• Korrigierte Builds pro CVE: Unbekannt (nicht bestätigt; auf dem MSRC-Advisory prüfen)
• Sicherheitsupdate-Builds vom 13. Oktober 2026 gemäss Microsoft-Versionshinweisen:
• Current Channel 2609: 20430.20182
• Monthly Enterprise Channel 2609: 20430.20180; 2608: 20326.20232; 2607: 20228.20276
• Semi-Annual Enterprise Channel 2609: 20430.20178; 2608: 20326.20230; 2607: 20228.20274
• LTSC 2024: 17932.21056; LTSC 2021: 14334.20974; LTSC 2019: 10417.20228

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround speziell für diese CVE gefunden.

• Allgemeine Zwischenmassnahme (nicht CVE-spezifisch): unsichere Word-Anhänge am Mail-Gateway blockieren oder in Quarantäne verschieben und das Öffnen von Makros und Dokumenten aus unsicheren Quellen einschränken.

Ausnutzung

• Nicht in CISA KEV aufgeführt
• CISA SSVC: Ausnutzung keine, nicht automatisierbar
• CVSS-Temporalvektor verwendet E:U (Reifegrad des Exploit-Codes: nicht nachgewiesen)
• Im Rahmen der Recherche wurde kein öffentlicher Proof-of-Concept gefunden
• EPSS-Werte widersprechen sich zwischen den Quellen (0.00618 oder unbekannt)

Unsere Empfehlung

• Das Office-Sicherheitsupdate vom 13. Oktober 2026 auf allen betroffenen Kanälen installieren und die Build-Nummern am MSRC-Advisory prüfen
• Office-2021- und LTSC-2021-Installationen erfassen; Office 2021 ist seit dem 13. Oktober 2026 nicht mehr im Support, daher eine Migration planen
• Mail-Gateway und Anhangsfilterung für Word-Dateien beibehalten, bis das Patching verifiziert ist
• CISA KEV und Herstellerhinweise auf Änderungen des Ausnutzungsstatus überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70287 msrc.microsoft.com
• Microsoft 365 Apps security updates (release notes) learn.microsoft.com
• NVD entry via Vulners: CVE-2026-70287 vulners.com
• OpenCVE: CVE-2026-70287 app.opencve.io
• Office Watch: October 2026 Patch Tuesday Office fixes office-watch.com
• Qualys: Microsoft Patch Tuesday October 2026 review blog.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:45.