Microsoft Office Excel: Remote Code Execution durch Integer Overflow

Zusammenfassung

Ein Integer Overflow (CWE-190) in Microsoft Office Excel erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der Angriff setzt voraus, dass ein Benutzer eine präparierte Excel-Datei öffnet, was am ehesten per E-Mail oder Download geschieht. Bei einem erfolgreichen Angriff wird Code im Kontext des Benutzers ausgeführt, und der CVSS-3.1-Basiswert beträgt 8.8 (hoch). Office Online Server arbeitet serverseitig, weshalb lokal betriebene Instanzen gesondert zu prüfen sind.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zur korrigierten Version (genaue korrigierte Build-Nummer aus den Quellen unbekannt; siehe MSRC-Advisory)
• Office 365 für Mac: 1.0.0 bis vor 16.114.26101123
• Office LTSC 2021: 16.0.1 bis vor 16.0.14334.20974
• Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21056
• Office LTSC für Mac 2021: 16.0.1 bis vor 16.114.26101123
• Office LTSC für Mac 2024: 16.0.0 bis vor 16.114.26101123
• Office Online Server: 16.0.0.0 bis vor 16.0.10417.20228

Behoben in

• Office LTSC 2021: 16.0.14334.20974 (gemäss CVE-Eintrag; mit MSRC prüfen)
• Office LTSC 2024: 16.0.17932.21056 (nicht verifiziert, nur aus einem Drittanbieter-Aggregator)
• Office 365 für Mac: 16.114.26101123 (gemäss CVE-Eintrag; in den Microsoft-Versionshinweisen bestätigen)
• Office Online Server: 16.0.10417.20228 (gemäss CVE-Eintrag)
• Microsoft 365 Apps for Enterprise: Build unbekannt
• Office LTSC für Mac 2021/2024: Build unbekannt

Umgehung

Unbekannt. Microsoft hat keine offizielle Umgehungslösung veröffentlicht; das Einspielen des Patches ist die Korrektur.

Ausnutzung

• Microsoft stuft die Ausnutzung als weniger wahrscheinlich ein.
• Die Exploit-Reife laut Microsoft ist Unproven.
• CISA SSVC (ADP-Eintrag): Ausnutzung keine, automatisierbar nein.
• Im Rahmen der Recherche wurde kein öffentlicher Proof-of-Concept gefunden; dies beweist nicht, dass keiner existiert.
• In den Recherchen wurde kein Eintrag im CISA-KEV-Katalog gefunden; der Katalog sollte direkt geprüft werden.

Unsere Empfehlung

• Die Sicherheitsupdates vom Oktober 2026 auf allen Microsoft-Office- und Excel-Installationen einspielen; Office Online Server und lokale Systeme priorisieren.
• Die korrigierte Version jedes Produkts vor der Verteilung im MSRC-Advisory prüfen.
• Bis zur Korrektur Excel-Dateien aus unsicheren E-Mails und Downloads blockieren oder in Quarantäne verschieben.
• Prüfen, ob Office Online Server lokal im Einsatz ist.
• Meldungen zur Ausnutzung und den CISA-KEV-Katalog überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-97778 msrc.microsoft.com
• Microsoft Security Update Guide: CVE-2026-97778 advisory msrc.microsoft.com
• Action1: Patch Tuesday October 2026 www.action1.com
• Qualys: Microsoft Patch Tuesday October 2026 review threatprotect.qualys.com
• Microsoft Office for Mac release notes learn.microsoft.com
• Vulners: CVE-2026-97778 vulners.com
• OpenCVE: CVE-2026-97778 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:23.