Microsoft Office Excel: Remote Code Execution durch heap-basierten Pufferüberlauf

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Excel erlaubt einem entfernten Angreifer die Ausführung von Code. Der Angreifer benötigt keine Berechtigungen, jedoch muss ein Benutzer eine präparierte Datei oder einen präparierten Link öffnen. Das grösste Risiko ist die Codeausführung auf dem Arbeitsplatz des Benutzers, der CVSS-Basiswert beträgt 8.8 (hoch). Microsoft hat Korrekturen veröffentlicht; eine Ausnutzung in freier Wildbahn ist nicht bekannt.

Betroffen

• Microsoft 365 Apps for Enterprise (betroffene Builds gemäss MSRC-Advisory)
• Microsoft Office 365 für Mac (vor 16.114.26101123)
• Microsoft Office LTSC 2021 (16.0.1 bis vor 16.0.14334.20974)
• Microsoft Office LTSC 2024 (16.0.0 bis vor 16.0.17932.21056)
• Microsoft Office LTSC für Mac 2021 (16.0.1 bis vor 16.114.26101123)
• Microsoft Office LTSC für Mac 2024 (16.0.0 bis vor 16.114.26101123)
• Microsoft Office Online Server (16.0.0.0 bis vor 16.0.10417.20228)

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt (der CNA-Eintrag verweist auf https://aka.ms/OfficeSecurityReleases; keine Build-Nummer bestätigt)
• Office für Mac: 16.114.26101123 (gemäss CVE-Eintrag, gegen MSRC prüfen)
• Office LTSC 2021: 16.0.14334.20974 (gemäss Aggregator-Daten, gegen MSRC prüfen)
• Office LTSC 2024: 16.0.17932.21056 (gemäss Aggregator-Daten, gegen MSRC prüfen)
• Office LTSC für Mac 2021 und 2024: 16.114.26101123 (gemäss CVE-Eintrag, gegen MSRC prüfen)
• Office Online Server: 16.0.10417.20228 (gemäss Aggregator-Daten, Sicherheitsupdate KB5002928, gegen MSRC prüfen)

Umgehung

Unbekannt.

• In den Quellen wurde kein Workaround des Herstellers bestätigt; das MSRC-Advisory direkt prüfen.
• Bis zur Korrektur Geschützte Ansicht für Dateien aus dem Internet oder von E-Mails aktiviert lassen und riskante Anhangtypen per Richtlinie einschränken (allgemeine Härtung, keine Herstellervorgabe).

Ausnutzung

• Gemäss den Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
• Nicht im CISA-KEV-Katalog gelistet; der EPSS-Wert liegt unter 1%.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof-of-Concept gefunden; Microsoft stuft die Exploit-Reife als Unproven ein.
• Heap-Überläufe in Office werden nach Patch-Veröffentlichungen oft rasch reverse-engineert, daher ist zügiges Patchen wichtig.

Unsere Empfehlung

• Microsoft 365 Apps, Office LTSC und Office Online Server (falls im Einsatz) über den normalen Update-Kanal patchen; dabei die Build-Nummern der MSRC-Seite verwenden.
• Prüfen, ob Office Online Server im Einsatz ist; in KMU ist dieses Produkt selten.
• Benutzer darauf hinweisen, keine unerwarteten Excel-Dateien oder Links aus unsicheren Quellen zu öffnen.
• KEV-Katalog und Meldungen zu öffentlichen Proof-of-Concepts auf Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-97769 msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Release notes for Office for Mac learn.microsoft.com
• Office Online Server security update KB5002928 support.microsoft.com
• CVE record aggregator (Vulners) vulners.com
• OpenCVE entry (CVE-2026-97769) app.opencve.io
• VulDB entry 419725 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:26.