Microsoft Word: Remote Code Execution durch Stack-based Buffer Overflow

Zusammenfassung

Ein Stack-based Buffer Overflow in Microsoft Word, Bestandteil von Microsoft 365 Apps und Office, ermöglicht die Ausführung von Code. Ein Angreifer kann Code mit den Rechten des Opfers ausführen, sofern das Opfer ein präpariertes Word-Dokument öffnet. Es sind keine Berechtigungen nötig, aber eine Benutzerinteraktion. Der CVSS-3.1-Basiswert beträgt 8.8 (hoch).

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum in der Microsoft-Advisory genannten Fixbuild
• Microsoft Office 365 für Mac: Versionen 1.0.0 bis vor 16.114.26101123
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.20974
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21056
• Office LTSC für Mac 2021: 16.0.1 bis vor 16.114.26101123
• Office LTSC für Mac 2024: 16.0.0 bis vor 16.114.26101123

Behoben in

• Das Microsoft-Office-Sicherheitsupdate vom 13. Oktober 2026 für jede betroffene Edition installieren.
• Genaue Fixbuilds: siehe Eintrag von CVE-2026-83891 im Microsoft Security Update Guide.

Umgehung

• Kein vom Hersteller veröffentlichter Workaround gefunden.
• Zusätzliche Risikominderung (eigene Empfehlung, nicht aus einer Herstellerquelle): nicht vertrauenswürdige Office-Anhänge am Mail-Gateway blockieren oder isolieren, den Geschützten Modus (Protected View) aktiviert lassen und Makro- sowie Dateitypeinstellungen einschränken, soweit der Geschäftsbetrieb dies zulässt.

Ausnutzung

• CISA-SSVC-Daten: Exploitation none, Automatable no.
• Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog; EPSS unbekannt.
• Ein Qualys-Bericht zum Patch Tuesday im Oktober 2026 erwähnt einen ausgenutzten Fix, nennt aber diese CVE nicht. Nicht bestätigt.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Microsoft-365-Apps- und Office-Installationen jetzt patchen, zuerst bei Benutzern, die E-Mail-Anhänge und externe Dokumente bearbeiten.
• Installierten Build anhand der Microsoft-Advisory prüfen.
• Geschützten Modus aktiviert lassen und nicht vertrauenswürdige Office-Anhänge bis zum abgeschlossenen Patch filtern oder isolieren.
• Auf ungewöhnliche Aktivitäten des Word-Prozesses achten und Benutzer anweisen, unerwartete Dokumente nicht zu öffnen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83891 msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• OpenCVE: CVE-2026-83891 app.opencve.io
• Strix: CVE-2026-83891 www.strix.ai
• Qualys: Microsoft Patch Tuesday October 2026 review blog.qualys.com
• GitHub tracker issue for CVE-2026-83891 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:26.