Office Excel: Remote Code Execution durch Use-after-Free

Zusammenfassung

Microsoft Office Excel enthält einen Use-after-Free-Speicherfehler (CWE-416), mit dem ein nicht berechtigter Angreifer über das Netzwerk Code ausführen kann. Der CVSS-3.1-Basiswert beträgt 8.8 (HOCH). Für die Ausnutzung ist eine Benutzerinteraktion nötig, meist das Öffnen einer präparierten Excel-Datei aus E-Mail oder Download. Die CISA-SSVC-Daten stufen die Ausnutzung als keine und die Automatisierbarkeit als nicht möglich ein; in der Recherche wurde kein öffentlicher Proof of Concept gefunden.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zum in Microsoft Security Update Guide genannten Build (genauer Build unbekannt)
• Microsoft Office 365 für Mac: 1.0.0 bis vor 16.114.26101123
• Microsoft Office LTSC 2021: 16.0.1 bis vor 16.0.14334.20974
• Microsoft Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21056
• Microsoft Office LTSC für Mac 2021: 16.0.1 bis vor 16.114.26101123
• Microsoft Office LTSC für Mac 2024: 16.0.0 bis vor 16.114.26101123
• Office Online Server: 16.0.0.0 bis vor 16.0.10417.20228

Behoben in

• Sicherheitsupdate vom 13. Oktober 2026 (Office/Excel)
• Office Online Server: Build 16.0.10417.20228 oder neuer (Microsoft KB5002928)
• Andere Produkte: fixen Build im Microsoft Security Update Guide prüfen, da die genannten Bereiche nicht unabhängig verifiziert sind

Umgehung

Unbekannt. In den verfügbaren Quellen wurde keine Workaround gefunden. Falls das Patchen verzögert wird, das Öffnen von Office-Dateien aus unbekannten E-Mails oder unsicheren Downloads einschränken und die geschützte Ansicht aktiviert lassen.

Ausnutzung

• Nicht im Known-Exploited-Vulnerabilities-Katalog (KEV) der CISA aufgeführt
• CISA SSVC (Vulnrichment): Ausnutzung keine, Automatisierbar nein, technische Auswirkung total
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert
• Nicht zu verwechseln mit der ausgenutzten Windows-Shell-Zero-Day-Lücke CVE-2026-96951 aus demselben Update

Unsere Empfehlung

• Microsoft Office Excel und Office Online Server (falls im Einsatz) in diesem Patch-Zyklus mit hoher Priorität patchen
• Installierten Build auf jedem Client und Server mit dem Microsoft Security Update Guide abgleichen
• Prüfen, ob ein lokal betriebener Office Online Server aus dem Internet erreichbar ist
• Benutzer darauf hinweisen, keine Excel-Dateien von unbekannten Absendern oder unsicheren Quellen zu öffnen
• Auf Änderungen des KEV-Status oder Berichte über öffentliche Exploits achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-97775 msrc.microsoft.com
• OpenCVE: CVE-2026-97775 app.opencve.io
• Microsoft KB5002928: Office Online Server hotfix support.microsoft.com
• Microsoft 365 Apps security updates learn.microsoft.com
• Office for Mac release notes learn.microsoft.com
• Vulners: CVE-2026-97775 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:21.