Microsoft Office Excel: Remote Code Execution durch nicht initialisierte Ressource

Zusammenfassung

Microsoft Office Excel in den Editionen Microsoft 365 Apps und Office LTSC (Windows und Mac) enthält eine Schwachstelle durch die Verwendung einer nicht initialisierten Ressource. Ein entfernter Angreifer kann über das Netzwerk Code auf einem betroffenen System ausführen. Für die Ausnutzung muss ein Benutzer mit einer präparierten Datei interagieren, zum Beispiel durch Öffnen eines Anhangs oder Downloads. Microsoft stuft den Schweregrad als wichtig ein, und eine öffentliche Ausnutzung ist nicht bekannt.

Betroffen

• Microsoft 365 Apps for Enterprise (Windows, 16.0.1 bis zum von Microsoft aufgeführten Fix-Build)
• Office 365 für Mac (1.0.0 bis 16.114.26101123)
• Office LTSC 2021 (16.0.1 bis zum von Microsoft aufgeführten Fix-Build)
• Office LTSC 2024 (16.0.0 bis zum von Microsoft aufgeführten Fix-Build)
• Office LTSC für Mac 2021 und 2024 (bis 16.114.26101123)

Behoben in

• Microsoft 365 Apps for Enterprise: Sicherheitsupdate vom 13. Oktober 2026 (Build über den Link im Microsoft-CNA-Eintrag)
• Office 365 für Mac und Office LTSC für Mac: 16.114.26101123 oder neuer
• Office LTSC 2021 und LTSC 2024: Sicherheitsupdate vom 13. Oktober 2026; die genauen Build-Nummern sind im MSRC-Advisory zu prüfen
• Die Korrekturen sind in den Microsoft-Office-Versionshinweisen vom 13. Oktober 2026 unter Excel aufgeführt

Umgehung

Unbekannt. In den Quellen ist keine Workaround des Herstellers aufgeführt. Das Einspielen des Patches ist die angegebene Massnahme.

• Übergangsmassnahme (allgemeine Praxis, nicht aus den Quellen): nicht vertrauenswürdige Office-Anhänge blockieren oder isolieren und die geschützte Ansicht aktiviert lassen.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA-SSVC-Daten: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Microsoft-Reifegrad des Exploit-Codes: unbewiesen.
• EPSS unter 1 %.
• Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden. Als nicht bekannt werten, nicht als ausgeschlossen bestätigt.

Unsere Empfehlung

• Das Sicherheitsupdate vom Oktober 2026 für Office auf allen Microsoft-365- und Office-LTSC-Clients installieren, unter Windows und Mac.
• Build-Nummern im MSRC-Advisory prüfen, nicht nur auf Drittseiten.
• Mitarbeitende priorisieren, die regelmässig externe Dateien oder E-Mail-Anhänge öffnen.
• Bis zur Korrektur nicht vertrauenswürdige Office-Anhänge blockieren oder isolieren und die geschützte Ansicht aktiviert lassen.
• Auf verdächtige Aktivitäten mit Office-Dokumenten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-97011 msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Vulners: CVE-2026-97011 (CNA record) vulners.com
• OpenCVE: CVE-2026-97011 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:44.