Microsoft Office Excel: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Microsoft Office Excel in Microsoft 365 Apps, Office LTSC, Office für Mac und Office Online Server enthält einen Heap-basierten Pufferüberlauf (CWE-122). Ein nicht authentifizierter Angreifer kann Code ausführen, wenn ein Benutzer eine präparierte Excel-Datei öffnet, etwa einen E-Mail-Anhang oder eine heruntergeladene Datei. Microsoft und NVD stufen die Schwachstelle als hoch ein (CVSS 8.8). Eine Ausnutzung in freier Wildbahn ist nicht bekannt.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (siehe Microsoft-Advisory)
• Office LTSC 2021 (Windows): 16.0.1 bis < 16.0.14334.20974
• Office LTSC 2024 (Windows): 16.0.0 bis < 16.0.17932.21056
• Office 365 für Mac: 1.0.0 bis < 16.114.26101123
• Office LTSC für Mac 2021 und 2024: 16.0.0 und neuer, korrigierter Build noch nicht bestätigt
• Office Online Server (selbst gehostet): 16.0.0.0 bis < 16.0.10417.20228

Behoben in

• Microsoft 365 Apps: Office-Sicherheitsupdate vom 13. Oktober 2026 (genauer Build: Unbekannt, prüfen unter https://aka.ms/OfficeSecurityReleases)
• Office LTSC 2021: 16.0.14334.20974
• Office LTSC 2024: 16.0.17932.21056
• Office 365 für Mac: 16.114.26101123
• Office LTSC für Mac 2021 und 2024: Unbekannt
• Office Online Server: 16.0.10417.20228 (KB5002928)

Umgehung

• Keine offizielle Workaround-Massnahme über das Patchen hinaus gefunden.
• Das Öffnen und Herunterladen von Excel-Dateien aus nicht vertrauenswürdigen Quellen blockieren oder stark einschränken (Übergangsmassnahme, insbesondere für Office LTSC für Mac bis zur Verfügbarkeit eines Fixes).

Ausnutzung

• Keine Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog gelistet.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Exploit gefunden. VulDB beschreibt die Schwachstelle anders (CWE-94), was den Angaben von Microsoft und NVD widerspricht.

Unsere Empfehlung

• Das Office-Sicherheitsupdate vom Oktober 2026 auf allen Microsoft 365 Apps- und LTSC-Clients installieren und den Build anhand des MSRC-Advisory prüfen.
• Selbst gehosteten Office Online Server auf 16.0.10417.20228 oder neuer patchen.
• Für Office LTSC für Mac den Umgang mit Excel-Dateien aus nicht vertrauenswürdigen Quellen einschränken, bis Microsoft einen Fix veröffentlicht.
• Benutzer vor unerwünschten Excel-Anhängen warnen und das E-Mail-Gateway prüfen.
• CISA KEV und Herstellerupdates überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-97763 msrc.microsoft.com
• Microsoft Office Online Server hotfix KB5002928 support.microsoft.com
• Microsoft 365 Apps security updates (release notes) learn.microsoft.com
• Vulners CVE record CVE-2026-97763 vulners.com
• Strix CVE summary CVE-2026-97763 www.strix.ai
• OpenCVE CVE-2026-97763 app.opencve.io
• VulDB entry 419716 vuldb.com
• NVD CVMAP report 21935 nvd.nist.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:23.