Microsoft Office Excel: Remote Code Execution durch Use after Free

Zusammenfassung

Eine Use-after-Free-Schwachstelle in Microsoft Office Excel erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angriff setzt voraus, dass ein Benutzer eine manipulierte Arbeitsmappe öffnet, zum Beispiel eine per E-Mail erhaltene oder aus dem Internet heruntergeladene Datei. Der CVSS-Basiswert beträgt 8.8 (Hoch), der Hersteller bewertet den temporalen Wert jedoch tiefer, weil der Exploit-Reifegrad unbewiesen ist.

Betroffen

• Microsoft 365 Apps for Enterprise: Versionen 16.0.1 bis zum in aka.ms/OfficeSecurityReleases genannten Fix-Build
• Office 365 für Mac: Versionen 1.0.0 bis unter 16.114.26101123 (unbestätigt)
• Office LTSC 2021 (Windows): Versionen 16.0.1 bis unter 16.0.14334.20974
• Office LTSC 2024 (Windows): Versionen 16.0.0 bis unter 16.0.17932.21056
• Office LTSC für Mac 2021 und 2024: Versionen unter 16.114.26101123
• Office Online Server: Versionen 16.0.0.0 bis unter 16.0.10417.20228

Behoben in

• Office LTSC 2021 (Windows): 16.0.14334.20974 oder neuer
• Office LTSC 2024 (Windows): 16.0.17932.21056 oder neuer
• Office Online Server: 16.0.10417.20228 oder neuer (KB5002928)
• Microsoft 365 Apps for Enterprise: Unbekannt. Siehe aka.ms/OfficeSecurityReleases.
• Office für Mac: 16.114.26101123 gemäss einer Quelle, noch nicht verifiziert. Siehe MSRC-Seite.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden; in den Quellen wird nur das Einspielen von Patches als Behebung beschrieben.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Exploitation none, Automatable no.
• Microsoft bewertet den Exploit-Reifegrad als Unproven.
• Kein öffentlicher Proof of Concept gefunden.
• Keine Quelle verbindet diese CVE mit Ausnutzung in freier Wildbahn.

Unsere Empfehlung

• Microsoft 365 Apps, Office LTSC und Office für Mac auf allen Endgeräten im Rahmen des Update-Zyklus vom Oktober 2026 patchen.
• Office-Online-Server-Instanzen priorisieren, insbesondere solche aus dem Internet erreichbar, und zuerst patchen.
• Vor dem Rollout die genauen Fix-Build-Nummern auf der MSRC-Seite überprüfen.
• Geschützte Ansicht und Einschränkungen für «Bearbeitung aktivieren» bei Dateien aus dem Internet oder per E-Mail eingeschaltet lassen.
• Excel-Makros und unbekannte Anhänge wo möglich einschränken oder blockieren.
• CISA KEV und die MSRC-Seite auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-97747 msrc.microsoft.com
• OpenCVE: CVE-2026-97747 app.opencve.io
• Vulners: CVE-2026-97747 vulners.com
• Microsoft Support: Office Online Server KB5002928 support.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Release notes for Office for Mac learn.microsoft.com
• Strix: CVE-2026-97747 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:35.