Microsoft Office Excel: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft Office Excel erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auszuführen. Der Angriff setzt voraus, dass das Opfer eine Aktion ausführt, etwa eine manipulierte Tabellenkalkulation aus einer E-Mail oder einem Download öffnet. Microsoft stuft die Schwachstelle als Important mit einem CVSS-3.1-Basiswert von 8.8 ein; eine aktive Ausnutzung ist nicht bekannt.

Betroffen

• Microsoft 365 Apps for Enterprise (32-Bit und x64), ab 16.0.1; die korrigierte Version ist in den CVE-Daten nicht angegeben
• Office 365 für Mac, Versionen vor 16.114.26101123
• Office LTSC 2021, Versionen vor 16.0.14334.20974
• Office LTSC 2024, Versionen vor 16.0.17932.21056 (nicht von Microsoft bestätigt)
• Office LTSC für Mac 2021 und 2024, Versionen vor 16.114.26101123
• Office Online Server, Versionen vor 16.0.10417.20228 (nicht von Microsoft bestätigt)

Behoben in

• Office 365 für Mac: 16.114.26101123
• Office LTSC 2021: 16.0.14334.20974
• Office LTSC für Mac 2021 und 2024: 16.114.26101123
• Office LTSC 2024: 16.0.17932.21056 (nicht verifiziert, auf der MSRC-Seite prüfen)
• Office Online Server: 16.0.10417.20228 (nicht verifiziert, siehe KB5002928)
• Microsoft 365 Apps: Unbekannt; das Excel-Update vom Oktober 2026 auf der MSRC-Seite prüfen

Umgehung

• Unbekannt. Es wurde kein Workaround des Herstellers gefunden; das Einspielen von Updates ist die verfügbare Massnahme.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept.
• MSRC: Ausnutzungsflag Nein, Exploit-Reife Unproven.
• CISA SSVC: Ausnutzung none, automatisierbar nein.
• In einer begrenzten Suche nicht im CISA-KEV-Katalog gefunden; auf cisa.gov prüfen.

Unsere Empfehlung

• Die Office-Updates vom Oktober 2026 auf allen Windows- und Mac-Clients installieren.
• Falls Office Online Server im Einsatz ist, dessen Patchstand prüfen; aus dem Internet erreichbare Instanzen priorisieren.
• Geschützte Ansicht und Makroeinschränkungen aktiviert lassen.
• Mitarbeitende für Tabellen von unbekannten Absendern oder unerwarteten Anhängen sensibilisieren.
• Die exakten korrigierten Versionen vor dem Rollout auf der MSRC-Seite verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC advisory CVE-2026-97748 msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Release notes Office for Mac learn.microsoft.com
• KB5002928 Office Online Server support.microsoft.com
• CNA data via Vulners vulners.com
• NVD record via OpenCVE app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:35.