Microsoft Excel: Remote Code Execution durch Double Free

Zusammenfassung

Eine Double-Free-Schwachstelle (CWE-415) in Microsoft Office Excel erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Für die Ausnutzung ist eine Benutzerinteraktion nötig, etwa das Öffnen einer manipulierten Tabelle aus einer E-Mail oder einem Download. Microsoft stuft die Schwachstelle als wichtig ein, mit einem CVSS-3.1-Basiswert von 8.8.

Betroffen

• Microsoft 365 Apps for Enterprise (ab 16.0.1 bis zur im Link https://aka.ms/OfficeSecurityReleases genannten Version)
• Office 365 für Mac (ab 1.0.0 bis vor 16.114.26101123)
• Office LTSC 2021 (ab 16.0.1 bis vor 16.0.14334.20974)
• Office LTSC 2024 (ab 16.0.0 bis vor 16.0.17932.21056)
• Office LTSC für Mac 2021 (ab 16.0.1 bis vor 16.114.26101123)
• Office LTSC für Mac 2024 (ab 16.0.0 bis vor 16.114.26101123)
• Office Online Server (ab 16.0.0.0 bis vor 16.0.10417.20228)

Behoben in

• Office LTSC 2021: 16.0.14334.20974 oder neuer
• Office LTSC 2024: 16.0.17932.21056 oder neuer
• Office 365 für Mac und LTSC für Mac: 16.114.26101123 oder neuer
• Office Online Server: 16.0.10417.20228 oder neuer
• Microsoft 365 Apps for Enterprise: Fixbuild nicht bestätigt; siehe MSRC-Seite
• Build-Nummern gemäss CVE-Eintrag; vor dem Schreiben von Patch-Regeln gegen das MSRC Security Update Guide prüfen

Umgehung

Kein vom Hersteller dokumentierter Workaround gefunden. Der Abschnitt zu Gegenmassnahmen bei MSRC wurde nicht überprüft.

Ausnutzung

• Aktive Ausnutzung: keine Hinweise gefunden; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
• Öffentlicher Proof of Concept: keiner gefunden; Microsoft markiert die CVE als nicht öffentlich bekannt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Das Microsoft-Office-Sicherheitsupdate vom Oktober 2026 auf allen Excel-Installationen einspielen, einschliesslich Microsoft 365 Apps, LTSC und Mac-Versionen.
• Office Online Server priorisieren, besonders wenn er aus dem Internet erreichbar ist, und KB5002928 bzw. den passenden Build installieren.
• Die MSRC-Seite und den CISA-KEV-Katalog wöchentlich auf Änderungen des Ausnutzungsstatus prüfen.
• Benutzer darauf hinweisen, keine unerwarteten Tabellen von unbekannten Absendern zu öffnen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-97772 msrc.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Release notes: Office for Mac learn.microsoft.com
• Office Online Server update KB5002928 support.microsoft.com
• OpenCVE: CVE-2026-97772 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:18.