Microsoft Office Word: Remote Code Execution durch nicht initialisierte Ressource

Zusammenfassung

Eine Schwachstelle in Microsoft Office Word erlaubt Remote Code Execution durch die Verwendung einer nicht initialisierten Ressource (CWE-908). Der CVSS-Basiswert beträgt 8.8, und Microsoft stuft die Schwachstelle als wichtig ein. Ein Angreifer kann Code auf dem Computer eines Opfers ausführen, indem er ein manipuliertes Dokument versendet, das der Benutzer öffnet, beispielsweise per E-Mail oder Download, ein Konto ist dafür nicht nötig. Der Dienst ist nicht direkt aus dem Internet erreichbar, und eine öffentliche Ausnutzung oder aktive Angriffe sind nicht bekannt.

Betroffen

• Microsoft 365 Apps for Enterprise (16.0.1 bis zur korrigierten Version)
• Microsoft Office LTSC 2021 (16.0.1 bis vor 16.0.14334.20974)
• Microsoft Office LTSC 2024 (16.0.0 bis vor 16.0.17932.21056)
• Microsoft Office 365 für Mac (1.0.0 bis vor 16.114.26101123)
• Microsoft Office LTSC für Mac 2021 und 2024 (vor 16.114.26101123)
• Unbekannt: ob weitere Office-Builds betroffen sind

Behoben in

• Microsoft hat die Korrekturen am 13. Oktober 2026 (Patch Tuesday) veröffentlicht.
• Office LTSC 2021: 16.0.14334.20974 oder neuer (Build 14334.20974 laut Microsoft-Versionshinweisen).
• Office LTSC 2024: 16.0.17932.21056 oder neuer (Build 17932.21056 laut Microsoft-Versionshinweisen).
• Office für Mac und LTSC für Mac: 16.114.26101123 oder neuer.
• Microsoft 365 Apps: das aktuelle Update vom Oktober 2026 installieren (Monthly Enterprise Channel 2609, Build 20430.20180 oder neuer).
• Der minimale Build je Produkt wurde auf der MSRC-Seite nicht bestätigt; vor dem Rollout prüfen.

Umgehung

Unbekannt. Microsoft hat keine Workaround veröffentlicht; das Update ist die Abhilfe.

• Allgemeine Härtung, nicht vom Hersteller: Geschützte Ansicht für Dokumente aus dem Internet und E-Mails aktiviert lassen, riskante Anhangtypen am Mail-Gateway blockieren oder in einer Sandbox öffnen und Attack Surface Reduction-Regeln für Office-Anwendungen prüfen.

Ausnutzung

• Microsoft führt die Schwachstelle als nicht öffentlich bekannt, mit Exploit-Reifegrad 'Unproven'.
• Nicht im CISA-KEV-Katalog; EPSS-Wert unter 1 Prozent.
• CISA SSVC: Ausnutzung 'none', automatisierbar 'no'.
• Es sind kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt.

Unsere Empfehlung

• Die Office-Sicherheitsupdates vom Oktober 2026 mit hoher Priorität auf allen betroffenen Clients installieren, da Phishing mit Office-Dokumenten verbreitet ist.
• Die installierte Version je Produkt mit der MSRC-Meldung abgleichen.
• Clients mit Office LTSC 2021 identifizieren; der Support endete am 13. Oktober 2026, und es gibt keine weiteren Sicherheitsupdates, daher eine Migration planen.
• Protected View aktiviert lassen und Mail-Gateways auf verdächtige Office-Anhänge überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC advisory CVE-2026-88150 msrc.microsoft.com
• Microsoft Office security update release notes learn.microsoft.com
• Microsoft 365 Apps update history learn.microsoft.com
• OpenCVE (NVD data, KEV, EPSS, SSVC) app.opencve.io
• Vulners CVE record vulners.com
• Office-watch October 2026 Patch Tuesday office-watch.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:08.