Office Excel: Remote Code Execution durch Use-after-free

Zusammenfassung

Ein Use-after-free-Fehler in Microsoft Office Excel (CWE-416) erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen; der CVSS-Basiswert beträgt 8.8. Für einen Angriff muss ein Benutzer eine präparierte Datei öffnen, zum Beispiel eine per E-Mail erhaltene oder heruntergeladene Datei, weshalb Phishing das Hauptrisiko ist. Microsoft stuft die Reife des Exploit-Codes als unbewiesen ein; ein öffentlicher Proof of Concept oder eine Ausnutzung wurde nicht bestätigt.

Betroffen

• Microsoft 365 Apps for Enterprise: Versionen unterhalb des Builds, der unter https://aka.ms/OfficeSecurityReleases aufgeführt ist (genauer Bereich nicht bestätigt)
• Office 365 für Mac: Versionen unterhalb von 16.114.26101123
• Office LTSC 2021: Versionen unterhalb von 16.0.14334.20974
• Office LTSC 2024: Versionen unterhalb von 16.0.17932.21056 (gemäss Drittquelle, im CNA-Eintrag nicht bestätigt)
• Office LTSC für Mac 2021: Versionen unterhalb von 16.114.26101123
• Office LTSC für Mac 2024: Versionen unterhalb von 16.114.26101123
• Office Online Server: Versionen unterhalb von 16.0.10417.20228 (gemäss Drittquelle, nicht bestätigt)

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt. Prüfen Sie https://aka.ms/OfficeSecurityReleases oder die MSRC-Seite.
• Office LTSC 2021: 16.0.14334.20974 oder neuer
• Office 365 und LTSC für Mac: 16.114.26101123 oder neuer
• Office LTSC 2024: Unbekannt (noch zu bestätigen)
• Office Online Server: Unbekannt (noch zu bestätigen; gemäss Microsoft KB5002928)

Microsoft hat die Korrekturen mit den Sicherheitsupdates vom 13. Oktober 2026 veröffentlicht.

Umgehung

Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers gefunden; Microsoft stellt einen Patch bereit. Als allgemeine Praxis sollten Geschützte Ansicht und Makro-Einschränkungen von Office aktiviert bleiben und Office-Dateien aus nicht vertrauenswürdigen Quellen blockiert oder isoliert werden.

Ausnutzung

• Reife des Exploit-Codes laut Microsoft: unbewiesen (E:U)
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog aufgeführt (der CISA-Katalog wurde nicht direkt geprüft)
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
• Kein öffentlicher Proof of Concept gefunden
• EPSS: unbekannt

Unsere Empfehlung

• Aktualisieren Sie Microsoft 365 Apps, Office LTSC und Office für Mac im regulären monatlichen Update-Zyklus.
• Priorisieren Sie jede Office-Online-Server-Instanz, die aus dem Internet erreichbar ist, und installieren Sie KB5002928 oder den vom Hersteller angegebenen Build.
• Prüfen Sie, welche Office-Versionen und Server Sie einsetzen und ob Office Online Server extern veröffentlicht ist.
• Lassen Sie Geschützte Ansicht und Makro-Einschränkungen aktiviert und blockieren Sie nicht vertrauenswürdige Office-Anhänge am Mail-Gateway.
• Überwachen Sie Endgeräte auf ungewöhnliche Excel-Prozesse oder ausgehende Verbindungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-97738 msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Release notes for Office for Mac learn.microsoft.com
• Microsoft Office Online Server hotfix KB5002928 support.microsoft.com
• CVE record copy (Vulners) vulners.com
• CISA SSVC data via OpenCVE app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:46.