Microsoft Office Excel: Remote Code Execution durch Heap-basierten Pufferüberlauf
Zusammenfassung
Ein Heap-basierter Pufferüberlauf in Microsoft Office Excel erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Basiswert beträgt 8.8 (HIGH). Für einen Angriff muss ein Benutzer eine präparierte Excel-Datei öffnen oder verarbeiten; eine Sekundärquelle deutet darauf hin, dass die Vorschau im Vorschaufenster ausreichen könnte, was Microsoft im eigenen Text nicht bestätigt hat. Ein erfolgreicher Angriff würde mit den Rechten des Benutzers ausgeführt.
Betroffen
- Microsoft 365 Apps for Enterprise (ab 16.0.1, gemäss CNA-Daten)
- Microsoft Office LTSC 2021 und LTSC 2024
- Microsoft Office 365 für Mac und Office LTSC für Mac 2021 und 2024
- Korrigierte Build-Nummern: unverifiziert, siehe Empfehlung
Behoben in
- Die am 13. Oktober 2026 veröffentlichten Microsoft-Office-Sicherheitsupdates installieren.
- Genaue korrigierte Build-Nummern pro Kanal: Unbekannt. Die CNA-Daten und ein Drittanbieter-Aggregator widersprechen sich; die Build-Tabelle bei MSRC prüfen.
Umgehung
- Unbekannt. Microsoft dokumentiert in den geprüften Quellen keine Workaround-Massnahme.
- Nicht verifizierte Option: Vorschaufenster für Excel-Dateien bis zur Behebung deaktivieren, aber nur, sofern dies in der eigenen Umgebung unterstützt wird.
Ausnutzung
- Nicht im Katalog der bekannten ausgenutzten Schwachstellen (KEV) der CISA aufgeführt.
- CISA-SSVC-Daten: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- EPSS 0.00722 (niedrig).
- In einer begrenzten Recherche wurden keine öffentlichen Proof-of-Concepts oder Ausnutzungsberichte gefunden.
Unsere Empfehlung
- Hohe Priorität behandeln.
- Die Office-Updates vom Oktober 2026 auf allen Microsoft-365- und Office-LTSC-Clients installieren, auch auf Mac.
- Die genauen korrigierten Build-Nummern vor dem Rollout auf der MSRC-Seite prüfen.
- Mitarbeitende priorisieren, die externe oder per E-Mail erhaltene Excel-Dateien bearbeiten.
- Den Patch-Stand anschliessend überprüfen, beispielsweise mit Schwachstellenscannern, die Office-Updates prüfen.
- Auf Berichte über Ausnutzung achten und diesen Eintrag erneut prüfen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-88145 msrc.microsoft.com
- Microsoft 365 Apps security updates learn.microsoft.com
- Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
- OpenCVE: CVE-2026-88145 app.opencve.io
- Vulners: CVE-2026-88145 vulners.com
- Strix: CVE-2026-88145 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.