Microsoft Office Excel: Remote Code Execution durch Out-of-Bounds Write

Zusammenfassung

Ein Out-of-Bounds Write in Microsoft Excel, Bestandteil von Microsoft Office und Microsoft 365 Apps, erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angriff erfordert, dass ein Benutzer aktiv wird, etwa indem er eine manipulierte oder heruntergeladene Tabellenkalkulation öffnet; Berechtigungen sind keine nötig. Der CVSS-Wert beträgt 8.8 (hoch) mit einer vollständigen Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Laut Microsoft und CISA gibt es keine bekannte aktive Ausnutzung und keinen öffentlich verfügbaren Proof-of-Concept-Exploit.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zur korrigierten Version (genaue Version aus den Quellen unbekannt)
• Microsoft Office 365 für Mac: Versionen vor 16.114.26101123
• Office LTSC 2021 (Windows): Versionen vor 16.0.14334.20974
• Office LTSC 2024 (Windows): Versionen vor 16.0.17932.21056 (unbestätigt, Quelle Drittanbieter)
• Office LTSC für Mac 2021 und 2024: Versionen vor 16.114.26101123 (gemäss CNA-Eintrag, zu überprüfen)
• Office Online Server: Versionen vor 16.0.10417.20228 (unbestätigt, Quelle Drittanbieter)

Behoben in

• Office 365 für Mac: 16.114.26101123 (gemäss CNA-Eintrag, noch nicht auf der Herstellerseite bestätigt)
• Office LTSC 2021 (Windows): 16.0.14334.20974 (gemäss CNA-Eintrag)
• Office LTSC 2024 (Windows): 16.0.17932.21056 (unbestätigt)
• Office Online Server: 16.0.10417.20228 (unbestätigt, siehe KB5002928)
• Microsoft 365 Apps for Enterprise: unbekannt, siehe https://aka.ms/OfficeSecurityReleases
• Office LTSC für Mac 2021/2024: unbekannt

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Umgehungsmassnahme gefunden. Allgemeine Härtung gilt: Geschützte Ansicht aktiviert lassen und Makros sowie externe Inhalte aus nicht vertrauenswürdigen Dokumenten einschränken.

Ausnutzung

• Nicht im KEV-Katalog der CISA aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Reifegrad des Exploit-Codes laut Microsoft: Unproven.
• Sekundäre Quellen melden weder einen öffentlichen PoC noch aktive Ausnutzung (nicht vollständig überprüfbar).

Unsere Empfehlung

• Die Office-Sicherheitsupdates vom 13. Oktober 2026 auf allen betroffenen Microsoft-365-, Office-LTSC- und Mac-Installationen einspielen und die korrigierten Versionen im MSRC-Advisory überprüfen.
• Office-2021-Installationen planen und upgraden, da für diese nach diesem Release-Zyklus keine weiteren Korrekturen mehr erscheinen.
• Benutzer priorisieren, die regelmässig externe oder per E-Mail erhaltene Tabellenkalkulationen öffnen.
• Makros und externe Inhalte aus nicht vertrauenswürdigen Quellen blockieren oder einschränken und die Geschützte Ansicht aktiviert lassen.
• Auf Arbeitsstationen verdächtige Excel-Aktivitäten und unerwartete Kindprozesse überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-97762 msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Microsoft KB5002928 (Office Online Server) support.microsoft.com
• CVE record via vulners (CNA data) vulners.com
• CVE record via OpenCVE (KEV and SSVC status) app.opencve.io
• Action1 Patch Tuesday October 2026 www.action1.com
• ZDI October 2026 Security Update Review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:34.