Microsoft Office Excel: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Excel, Bestandteil von Microsoft 365 Apps, Office LTSC und Office für Mac, erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Voraussetzung ist, dass ein Benutzer eine manipulierte Excel-Datei öffnet oder anderweitig verarbeitet, zum Beispiel eine per E-Mail oder über eine Dateifreigabe zugestellte Datei. Auch Office Online Server ist als betroffen aufgeführt. Microsoft stuft die Lücke als wichtig mit einem CVSS-Basiswert von 8.8 ein.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum von Microsoft referenzierten korrigierten Build (genauer Build: siehe MSRC-Advisory)
• Office LTSC 2021: Versionen unterhalb 16.0.14334.20974
• Office LTSC 2024: Versionen unterhalb 16.0.17932.21056
• Office 365 für Mac: Versionen unterhalb 16.114.26101123
• Office LTSC für Mac 2021 und 2024: korrigierter Build unbekannt
• Office Online Server: Versionen unterhalb 16.0.10417.20228

Behoben in

• Das Microsoft-Office-Sicherheitsupdate vom 13. Oktober 2026 installieren.
• Genaue korrigierte Builds für Microsoft 365 Apps und Office LTSC für Mac: siehe MSRC-Advisory (teilweise nicht verifiziert).

Umgehung

• In den geprüften Quellen wurde keine Workaround des Herstellers identifiziert. Unbekannt, ob Microsoft temporäre Massnahmen auflistet.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt.
• Microsoft-Reifegrad des Exploit-Codes: nicht bewiesen (E:U).
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden. EPSS: unbekannt.

Unsere Empfehlung

• Die Office-Updates vom 13. Oktober 2026 auf allen Clients und auf allen Office Online Servern installieren, mit den genauen Builds aus dem MSRC-Advisory.
• Prüfen, ob der Update-Kanal (Microsoft 365 Apps oder LTSC) den neuen Build tatsächlich ausliefert.
• Office Online Server nur dann aus dem Internet erreichbar machen, wenn es zwingend nötig ist.
• Excel-Dateien aus unsicheren Quellen einschränken oder isoliert öffnen und Benutzer für verdächtige Anhänge sensibilisieren.
• Auf Aufnahme in den KEV-Katalog und auf öffentlichen Proof-of-Concept-Code überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-97003 msrc.microsoft.com
• Microsoft Support: Office Online Server hotfix KB5002928 support.microsoft.com
• OpenCVE: CVE-2026-97003 app.opencve.io
• Strix: CVE-2026-97003 www.strix.ai
• Vulners: CVELIST:CVE-2026-97003 vulners.com
• GitHub issue: CVE-2026-97003 tracking github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:46.