Microsoft Office Excel: Remote Code Execution durch Integer Underflow

Zusammenfassung

Microsoft Office Excel enthält einen Integer Underflow (CWE-191), der Remote Code Execution ermöglicht. Laut CVSS-Vektor kann ein nicht authentifizierter Angreifer die Lücke über das Netzwerk ausnutzen, wobei ein Benutzer mit dem präparierten Inhalt interagieren muss, zum Beispiel indem er eine Datei öffnet. Ein erfolgreicher Angriff könnte Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Eine Ausnutzung ist nicht bekannt, und es wurde kein öffentlicher Proof of Concept gefunden.

Betroffen

• Microsoft 365 Apps for Enterprise (16.0.1 bis zur korrigierten Version)
• Office LTSC 2021 und LTSC 2024 (Windows)
• Office 365 für Mac sowie LTSC für Mac 2021 und 2024
• Office Online Server (16.0.0.0 bis zur korrigierten Version)

Behoben in

Unbekannt. Die korrigierte Version je Produkt und Update-Kanal ist im MSRC-Advisory zu prüfen. Drittquellen nennen 16.0.14334.20974 (LTSC 2021), 16.0.17932.21056 (LTSC 2024) und 16.0.10417.20228 (Office Online Server), diese Werte sind jedoch nicht gegen Microsoft verifiziert.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Die Installation des Microsoft-Sicherheitsupdates ist die vorgesehene Massnahme.

Ausnutzung

• Nicht bekanntermassen in freier Wildbahn ausgenutzt
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein
• Nicht im CISA-KEV-Katalog aufgeführt
• In einer begrenzten Recherche wurde kein öffentlicher Proof of Concept gefunden

Unsere Empfehlung

• Das Microsoft-Office-Sicherheitsupdate für alle betroffenen Produkte und Kanäle prioritär installieren
• Die korrigierten Build-Nummern vor dem Rollout im MSRC-Advisory prüfen
• Prüfen, ob Office Online Server installiert und aus dem Internet erreichbar ist, und bei Bedarf zuerst einschränken oder patchen
• Geschützte Ansicht aktiviert lassen und Makros sowie Dateien aus unsicheren Quellen einschränken
• Auf ungewöhnliche Excel-Aktivitäten achten und den Ausnutzungsstatus regelmässig neu prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC advisory CVE-2026-97746 msrc.microsoft.com
• Microsoft 365 Apps security updates (release notes) learn.microsoft.com
• KB5002928 Office Online Server support.microsoft.com
• OpenCVE (NVD and CISA SSVC data) app.opencve.io
• Vulners CNA version data vulners.com
• Strix third-party version table www.strix.ai
• GitHub alert tracker github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:43.