Microsoft Office PowerPoint: Use-after-free führt zu Remote Code Execution

Zusammenfassung

Ein Use-after-free-Speicherfehler (CWE-416) in Microsoft Office PowerPoint erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Gemäss CVE-Eintrag ist keine Anmeldung und keine Benutzerberechtigung nötig, der CVSS-Basiswert beträgt 9.8 (kritisch). Die Quellen widersprechen sich zum Angriffsweg: Microsoft beschreibt präparierte Präsentationen, die von einem Office-Online-Dienst verarbeitet werden, CrowdStrike nennt vorschauen im Vorschaubereich als Vektor; daher sollte eine präparierte Datei, die per E-Mail, Download oder webbasiertem Office-Dienst zugestellt wird, als plausibles Risiko behandelt werden.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum Oktober-2026-Update (genaue Build-Nummer je Kanal: Unbekannt)
• Office 365 für Mac: 1.0.0 bis vor 16.114.26101123
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.20974
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21056
• Office LTSC für Mac 2021 und 2024: 16.0.1 bis vor 16.114.26101123 (LTSC für Mac 2024: 16.0.0 bis vor 16.114.26101123)

Behoben in

• Das Sicherheitsupdate vom Oktober 2026 für jeden Kanal installieren. Genaue korrigierte Builds für Microsoft 365 Apps: Unbekannt; im MSRC-Build-Katalog prüfen.
• Office LTSC 2021 und LTSC 2024: Builds gemäss CVE-Eintrag oben; die Angabe der Drittquelle ist nicht bestätigt.
• Office für Mac: Status unklar. MSRC meldet, dass die Sicherheitsupdates für LTSC für Mac noch nicht sofort verfügbar sind, eine andere Quelle meldet deren Veröffentlichung. Auf MSRC prüfen.

Umgehung

• Keine dokumentierte Workaround-Lösung von Microsoft. Das Einspielen des Patches ist die empfohlene Massnahme.
• Nicht verifizierter Vorschlag, nicht vom Hersteller: Bis zur Behebung den Empfang von PowerPoint-Dateien von unbekannten Absendern einschränken und die Vorschau für Office-Dateien deaktivieren prüfen.

Ausnutzung

• Microsoft: nicht öffentlich bekannt, nicht ausgenutzt, Ausnutzbarkeitsbewertung 'Exploitation Less Likely'.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Nicht in der CISA-KEV-Liste enthalten.
• Kein verifizierter öffentlicher Proof-of-Concept-Exploit gefunden.
• Action1 meldet keine bestätigte Zero-Day-Ausnutzung für diese CVE.

Unsere Empfehlung

• Alle Installationen von Microsoft 365 Apps, Office LTSC und Office für Mac auf das Oktober-2026-Update des jeweiligen Kanals bringen.
• Build-Stand und Update-Status für Mac auf dem MSRC-Advisory prüfen; Mac-Systeme und Office-Online-Nutzung mit unklarem Status priorisieren.
• Einen Schwachstellenscanner (z. B. das Tenable-Nessus-Plugin für die PowerPoint-C2R-Updates vom Oktober 2026) einsetzen, um fehlende Updates zu bestätigen.
• Riskante Dateianhänge am Mail-Gateway filtern und Endgeräte auf unerwartete Kindprozesse von PowerPoint überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88178 msrc.microsoft.com
• Microsoft Security Advisory CVE-2026-88178 msrc.microsoft.com
• SentinelOne vulnerability database: CVE-2026-88178 www.sentinelone.com
• Action1: Patch Tuesday October 2026 www.action1.com
• CrowdStrike: Patch Tuesday analysis October 2026 www.crowdstrike.com
• Tenable Nessus plugin: PowerPoint C2R October 2026 updates vulners.com
• VulDB: CVE-2026-88178 vuldb.com
• OpenCVE: CVE-2026-88178 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:23.