Microsoft Office Excel: Remote Code Execution durch heap-basierten Pufferüberlauf

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Excel erlaubt einem nicht authentifizierten Angreifer aus der Ferne, Code auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte Excel-Datei öffnet, zum Beispiel aus einem E-Mail-Anhang, einem Download oder einem Link. Der CVSS-Basiswert beträgt 8.8 (Hoch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum Fix-Build (genauer Fix-Build unbekannt)
• Office LTSC 2021: 16.0.1 bis unter 16.0.14334.20974
• Office LTSC 2024: 16.0.0 bis unter 16.0.17932.21056
• Office 365 für Mac sowie Office LTSC für Mac 2021/2024: unter 16.114.26101123

Behoben in

• Office LTSC 2021 (16.0.14334.20974) und LTSC 2024 (16.0.17932.21056): von Drittquellen als am 13. Oktober 2026 veröffentlichte Builds aufgeführt; noch nicht im Hersteller-Verzeichnis als Fix-Builds bestätigt
• Microsoft 365 Apps und Office für Mac: Fix-Build unbekannt, in der MSRC-Tabelle prüfen
• Office LTSC für Mac 2021 und 2024: bei Veröffentlichung kein Update verfügbar, aktuellen Status beim Hersteller prüfen

Umgehung

• Keine Workaround-Massnahme des Herstellers bekannt.
• Übergangsmassnahmen (Empfehlung, nicht vom Hersteller): Geschützte Ansicht aktiviert lassen, Makros und externe Inhalte aus E-Mails und dem Internet blockieren oder einschränken, Datei-Blockierungsrichtlinien für Office bei nicht vertrauenswürdigen Dateitypen anwenden.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Ausnutzung none, automatisierbar no.
• EPSS 0.00893.
• Kein öffentlicher Proof of Concept gefunden.
• Qualys meldet, dass eine der Oktober-2026-Korrekturen aktiv ausgenutzt wird, nennt aber keine Angabe welche; unbekannt, ob es sich um diese CVE handelt.

Unsere Empfehlung

• Microsoft 365 Apps und LTSC-Clients zuerst mit dem Office-Update vom Oktober 2026 patchen; Fix-Builds in der MSRC-Tabelle prüfen.
• Mac-Clients separat prüfen, da bei Veröffentlichung kein Update für LTSC für Mac verfügbar war.
• Bis zum Patch Geschützte Ansicht aktiviert lassen und Makros sowie externe Inhalte einschränken.
• Auf Ausnutzung überwachen und im regulären Monatszyklus oder früher patchen, da Excel-Dateien aus E-Mails ein häufiger Angriffsweg sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-77902 msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Office for Mac release notes learn.microsoft.com
• OpenCVE: CVE-2026-77902 app.opencve.io
• Strix: CVE-2026-77902 www.strix.ai
• Vulners: NVD:CVE-2026-77902 vulners.com
• Qualys Patch Tuesday October 2026 review blog.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:41.