Microsoft Office: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office ermöglicht einem nicht authentifizierten Angreifer über das Netzwerk die Ausführung von Code, so die Einstufung durch Microsoft (CWE-122). Der CVSS-3.1-Basiswert beträgt 8.8 (hoch). Die Ausnutzung erfordert eine Benutzerinteraktion, und der Auslöser ist in den Quellen nicht bestätigt, daher ist unbekannt, ob das Öffnen eines präparierten Dokuments oder einer Datei der Angriffsweg ist.

Betroffen

• Microsoft 365 Apps for Enterprise ab 16.0.1 (vor dem auf der MSRC-Seite aufgeführten Fix-Build)
• Office LTSC 2021 ab 16.0.1
• Office LTSC 2024 ab 16.0.0
• Microsoft Office 365 für Mac sowie Office LTSC für Mac 2021/2024 ab 16.0.0 bzw. 16.0.1 (vor 16.114.26101123)

Behoben in

• Microsoft hat die Korrekturen am 13. Okt. 2026 veröffentlicht.
• Office 365 für Mac und LTSC für Mac: 16.114.26101123 gemäss CNA-Eintrag (auf MSRC überprüfen).
• Fix-Builds für Windows LTSC 2021 und LTSC 2024: nicht verifiziert, da sich die Quellen widersprechen. Vor einer Verwendung der Build-Nummern die MSRC-Seite und die Versionshinweise von Microsoft prüfen.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Die Installation des Sicherheitsupdates ist die empfohlene Massnahme.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA-SSVC-Daten: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Keine bestätigte Ausnutzung in freier Wildbahn bekannt.
• Bei den Recherchen wurde kein öffentlicher Proof-of-Concept gefunden. Dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Microsoft 365 Apps und Office unter Windows und Mac vorrangig patchen, besonders auf Systemen, die E-Mails und Dokumente aus externen Quellen verarbeiten.
• Installierte Build-Nummern auf der MSRC-Seite prüfen, nicht bei Drittanbieter-Aggregatoren.
• Auf öffentlichen Exploit-Code oder einen Eintrag im CISA-KEV-Katalog überwachen, da dies die Dringlichkeit erhöhen würde.
• Die Verarbeitung nicht vertrauenswürdiger Dateien durch Office nach Möglichkeit einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88196 msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• CVE record via Vulners (CVELIST) vulners.com
• CVE record via OpenCVE app.opencve.io
• Microsoft customer risk document 2026 CVEs cdn-dynmedia-1.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:58.