Microsoft 365 Apps: Pufferüberlauf im Heap in Word ermöglicht Codeausführung
Zusammenfassung
Microsoft Word in Microsoft 365 Apps und Office LTSC Editionen enthält einen Pufferüberlauf im Heap (CWE-122). Ein entfernter Angreifer kann auf dem betroffenen System Code ausführen, wenn ein Benutzer ein präpariertes Dokument öffnet oder damit interagiert, beispielsweise ein Dokument aus einer E-Mail oder einer Dateifreigabe. Der CVSS-Basiswert beträgt 8.8, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Betroffen
- Microsoft 365 Apps for Enterprise: Version 16.0.1 bis zum korrigierten Build (genauer Build ist auf der Herstellerseite zu bestätigen)
- Office 365 for Mac: Versionen vor 16.114.26101123
- Office LTSC 2021: Versionen vor 16.0.14334.20974
- Office LTSC 2024: Versionen vor 16.0.17932.21056
- Office LTSC for Mac 2021: Versionen vor 16.114.26101123
- Office LTSC for Mac 2024: Versionen vor 16.114.26101123
Behoben in
- Microsoft hat eine Korrektur veröffentlicht. Die oben aufgeführten korrigierten Builds entsprechen den oberen Grenzen der betroffenen Bereiche im CVE-Eintrag und wurden nicht unabhängig verifiziert.
- Die genauen korrigierten Builds sind auf dem MSRC Update Guide und der Sicherheitsseite von Microsoft für Office zu bestätigen.
Umgehung
- Es ist kein vom Hersteller veröffentlichter Workaround bekannt.
Ausnutzung
- Zum Zeitpunkt der Recherche wurden keine öffentliche Ausnutzung und kein Eintrag im CISA-KEV-Katalog gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof-of-Concept gefunden. Dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Die Sicherheitsupdates für Microsoft 365 und Office auf allen betroffenen Clients so rasch wie möglich installieren und Systeme priorisieren, die externe Dokumente verarbeiten.
- Installierte Build-Nummern mit den korrigierten Versionen auf der Herstellerseite abgleichen.
- E-Mail-Gateways auf verdächtige Word-Anhänge überwachen und Makros sowie aktive Inhalte aus unbekannten Quellen einschränken.
- Auf Aktualisierungen des KEV-Katalogs und der Herstellerwarnung achten.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-88202 msrc.microsoft.com
- Microsoft Office for Mac release notes learn.microsoft.com
- OpenCVE: CVE-2026-88202 app.opencve.io
- VulDB: CVE-2026-88202 vuldb.com
- Vulners CVE list: CVE-2026-88202 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.