Microsoft 365 Apps: Use-after-Free in Excel ermöglicht Remote Code Execution

Zusammenfassung

Eine Use-after-Free-Schwachstelle in Microsoft Excel, Teil von Microsoft 365 Apps und Office, erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Voraussetzung ist, dass ein Opfer eine präparierte Datei öffnet oder damit interagiert; solche Dateien kommen typischerweise per E-Mail oder Download. Microsoft stuft die Lücke als Important (CVSS 8.8) ein; eine aktive Ausnutzung oder öffentlich verfügbarer Exploit-Code ist nicht bekannt.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis vor dem Build, der unter https://aka.ms/OfficeSecurityReleases aufgeführt ist
• Office 365 für Mac: 1.0.0 bis vor 16.114.26101123 (unbestätigt)
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.20974
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21056 (unbestätigt)
• Office LTSC für Mac 2021: 16.0.1 bis vor 16.114.26101123 (unbestätigt)
• Office LTSC für Mac 2024: 16.0.0 bis vor 16.114.26101123 (unbestätigt)
• Office Online Server: 16.0.0.0 bis vor 16.0.10417.20228

Behoben in

• Office LTSC 2021: 16.0.14334.20974
• Office Online Server: 16.0.10417.20228
• Microsoft 365 Apps (Click-to-Run): Release-Tabelle unter https://aka.ms/OfficeSecurityReleases prüfen; Build-Nummer unbekannt.
• LTSC 2024 und Mac-Builds: nicht gegen Microsoft verifiziert; Herstellerseiten prüfen.

Umgehung

• Keine Workaround-Massnahme des Herstellers bekannt. Das Einspielen des Updates ist die vorgesehene Behebung.
• Bis zur Behebung: Excel-Dateien von unbekannten Absendern mit Vorsicht behandeln und Makros einschränken. Dies ist allgemeine gute Praxis und kein herstellerspezifischer Workaround.

Ausnutzung

• Keine Hinweise auf aktive Ausnutzung gefunden.
• CISA SSVC: Exploitation none; nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlich bekannter Proof-of-Concept; Exploitability-Bewertung von Microsoft: Unproven.

Unsere Empfehlung

• Die Sicherheitsupdates von Microsoft 365 / Office vom Oktober 2026 über den üblichen Update-Kanal ausrollen.
• Office Online Server priorisieren, falls im Einsatz, und bis zum Beweis des Gegenteils als aus dem Internet erreichbar behandeln.
• Installierte Build-Nummern auf den Microsoft-Seiten prüfen, bevor die Compliance gemeldet wird.
• Mitarbeitende anweisen, keine Excel-Dateien von unbekannten Absendern zu öffnen, und Makros einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-97771 msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Release notes for Office for Mac learn.microsoft.com
• Microsoft Office Online Server hotfix support.microsoft.com
• OpenCVE: CVE-2026-97771 app.opencve.io
• VulDB entry 419680 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:28.