Microsoft Office Excel: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Excel, Bestandteil von Microsoft 365 Apps, Office LTSC, Office für Mac und Office Online Server, erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk die Ausführung von Code. Der Angreifer benötigt, dass das Opfer eine präparierte Datei oder Inhalte öffnet oder anderweitig damit interagiert, zum Beispiel über eine Phishing-E-Mail mit Excel-Anhang oder Link. Der Code läuft mit den Rechten des Excel-Benutzers; der CVSS-3.1-Basiswert beträgt 8.8 (hoch). Die CISA-SSVC-Bewertung von Microsoft nennt keine Ausnutzung und keine Automatisierbarkeit.

Betroffen

• Microsoft 365 Apps for Enterprise (32- und 64-Bit): betroffen ab 16.0.1 bis zum korrigierten Build; genaue Build-Nummer unbekannt (obere Grenze verweist auf https://aka.ms/OfficeSecurityReleases)
• Office 365 für Mac: betroffen vor 16.114.26101123 (gemäss CNA-Daten; Quellen widersprechen sich)
• Office LTSC 2021: betroffen vor 16.0.14334.20974
• Office LTSC 2024: betroffen vor 16.0.17932.21056 (nur gemäss Strix, nicht verifiziert)
• Office LTSC für Mac 2021 und 2024: betroffen vor 16.114.26101123 (Korrektur noch nicht verfügbar)
• Office Online Server: betroffen vor 16.0.10417.20228

Behoben in

• Office LTSC 2021: 16.0.14334.20974 (gemäss CNA-Daten, auf MSRC zu bestätigen)
• Office Online Server: 16.0.10417.20228 (KB5002928)
• Microsoft 365 Apps: Build-Nummer unbekannt
• Office LTSC 2024: 16.0.17932.21056 (nur gemäss Strix, nicht verifiziert)
• Office 365 für Mac: 16.114.26101123 (Quellen widersprechen sich)
• Office LTSC für Mac 2021 und 2024: noch nicht verfügbar; Microsoft veröffentlicht Updates so rasch wie möglich

Umgehung

Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden. Für LTSC für Mac gilt bis zur Veröffentlichung der Patches: Den Kreis der Personen, die Excel-Dateien senden dürfen, einschränken und Makros, den geschützten Ansicht sowie die Behandlung von Dateitypen per Richtlinie begrenzen; diese Massnahmen sind allgemein und für diese CVE nicht verifiziert.

Ausnutzung

• Ausnutzung in freier Wildbahn: für diese CVE nicht bestätigt
• Öffentlicher Proof of Concept: keiner gefunden
• CISA KEV: kein Eintrag gefunden
• Preisschätzung für Exploits durch VulDB: USD 0 bis 5k (Marktschätzung, kein Nachweis einer Ausnutzung)

Unsere Empfehlung

• Office Online Server priorisieren, falls er extern veröffentlicht ist, und auf 16.0.10417.20228 oder neuer aktualisieren
• Updates für Microsoft 365 Apps über den üblichen Update-Kanal verteilen und danach die Build-Nummer überprüfen
• Office LTSC 2021 und 2024 auf die korrigierten Builds aktualisieren, sobald diese auf MSRC bestätigt sind
• Für Mac-LTSC-Installationen die MSRC-Seite verfolgen und das Update nach Veröffentlichung installieren
• Excel-Anhänge und Links im Mail-Gateway filtern und Mitarbeitende für Phishing sensibilisieren
• Auf verdächtige Excel-Prozesse achten und alle Versionsangaben auf dem MSRC-Advisory prüfen, bevor man sich darauf verlässt

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-97776 msrc.microsoft.com
• Vulners CVE record CVE-2026-97776 vulners.com
• OpenCVE: CVE-2026-97776 app.opencve.io
• Strix: CVE-2026-97776 www.strix.ai
• Microsoft Support: Office Online Server hotfix KB5002928 support.microsoft.com
• Talos: Microsoft Patch Tuesday for October 2026 blog.talosintelligence.com
• VulDB: CVE-2026-97776 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:21.