Microsoft Office Excel: Remote Code Execution durch Heap-based Buffer Overflow

Zusammenfassung

Ein Heap-based Buffer Overflow in Microsoft Office Excel, Bestandteil von Microsoft 365 Apps sowie der Office-LTSC- und Office-für-Mac-Ausgaben, erlaubt die Ausführung von Code über ein Netzwerk. Voraussetzung ist, dass ein Benutzer eine manipulierte Excel-Datei öffnet, etwa aus einem E-Mail-Anhang oder einem Link zu einer Dateifreigabe. Der Angreifer kann dann Code mit den Rechten des Benutzers ausführen. Der CVSS-3.1-Basiswert beträgt 8.8 (NVD und Microsoft).

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum im Oktober 2026 korrigierten Build (die genaue Obergrenze ist im abgerufenen CVE-Eintrag nicht angegeben)
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.20974
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21056
• Office für Mac und Office LTSC für Mac 2021/2024: vor 16.114.26101123 (LTSC für Mac 2021 ab 16.0.1, LTSC für Mac 2024 ab 16.0.0)
• Office Online Server: 16.0.0.0 bis vor 16.0.10417.20228

Behoben in

• Behoben in den Microsoft-Sicherheitsupdates vom 13. Oktober 2026 (Windows und Office) und vom 14. Oktober 2026 (Mac)
• Erste korrigierte Builds gemäss CVE-Eintrag: Office LTSC 2021 16.0.14334.20974; Office LTSC 2024 16.0.17932.21056; Office für Mac 16.114.26101123; Office Online Server 16.0.10417.20228 (KB5002928)
• Korrigierter Build für Microsoft 365 Apps: siehe MSRC-Advisory

Umgehung

Unbekannt. Es ist kein CVE-spezifischer Workaround veröffentlicht. Das Sicherheitsupdate ist einzuspielen.

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt
• Kein öffentlicher Proof of Concept gefunden
• Eine Ausnutzung in freier Wildbahn ist nicht bestätigt

Unsere Empfehlung

• Die Office-Sicherheitsupdates vom Oktober 2026 auf allen Microsoft-365-, LTSC-, Mac- und Office-Online-Server-Installationen einspielen
• Die installierte Version auf jedem Endgerät prüfen, da automatische Updates verzögert oder blockiert sein können
• Benutzer priorisieren, die regelmässig externe Tabellen öffnen
• Die geschützte Ansicht für Dateien aus dem Internet und aus E-Mails aktiviert lassen sowie Makros und aktive Inhalte einschränken
• Vor dem Schliessen des Tickets das MSRC-Advisory und den CISA-KEV-Katalog erneut prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC advisory CVE-2026-97757 msrc.microsoft.com
• Microsoft Office security update release notes learn.microsoft.com
• Microsoft Office for Mac release notes learn.microsoft.com
• Office Online Server KB5002928 support.microsoft.com
• OpenCVE (NVD and CISA ADP data) app.opencve.io
• Action1 October 2026 Patch Tuesday www.action1.com
• Talos October 2026 Patch Tuesday blog.talosintelligence.com
• VulDB (conflicting scoring) vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:31.