Microsoft Office Produkte: Mehrere Schwachstellen
WID-SEC-2026-3234 · erstmals 09.09.2026 · aktualisiert 09.09.2026 · CVSS 9,8
Worum es geht
Die Microsoft Office Suite beinhaltet zahlreiche Büroanwendungen wie Textverarbeitung, Tabellenkalkulation, Datenbank und weitere Applikationen. Microsoft Office Online Server ist ein Serverprodukt, das browserbasierte Versionen von Word, PowerPoint, Excel und OneNote bereitstellt. Microsoft 365 Apps ist eine Office Suite für zahlreiche Büroanwendungen. Microsoft Sharepoint Services ist ein Portalsystem für die zentrale Verwaltung von Dokumenten und Anwendungen. Die Inhalte werden u.a. über Webseiten zur Verfügung gestellt. Microsoft Teams ist ein Kollaborations-, Kommunikations- und Videokonferenz-Tool. Skype ist ein Instant-Messaging-Dienst. Unterstützt werden Videokonferenzen, IP-Telefonie, Instant-Messaging, Dateiübertragung und Screen-Sharing. Ein Angreifer kann mehrere Schwachstellen in verschiedenen Microsoft Office Produkten, Microsoft Office Online Server, Microsoft 365 Apps, Microsoft SharePoint, Microsoft Teams und Microsoft Skype ausnutzen, um erhöhte Berechtigungen zu erlangen, um Code auszuführen, um Informationen offenzulegen und um den Nutzer zu täuschen.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- erhöhte Berechtigungen zu erlangen
- Code auszuführen
- Informationen offenzulegen
- den Nutzer zu täuschen
Bin ich betroffen?
Betroffen sind laut BSI:
- Microsoft Excel 2016
- Microsoft Word 2016
- Microsoft PowerPoint 2016
- Microsoft Outlook 2016
- Microsoft Office 2016
- Microsoft Office 2019
- Microsoft Access 2016
- Microsoft Skype for Business Server 2015 CU13
- Microsoft 365 Apps
- Microsoft Office LTSC for Mac 2021
- Microsoft Office LTSC 2021
- Microsoft SharePoint Server Subscription Edition
und 8 weitere
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Die vom Hersteller bereitgestellten Updates einspielen; Details in den Quellen unten.
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Microsoft Leitfaden für Sicherheitsupdates msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81951 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81947 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81948 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81949 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81950 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81954 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81956 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81953 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81960 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81958 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81392 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81393 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81394 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81395 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81396 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81397 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81398 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81399 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81400 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81401 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81957 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81959 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-85875 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81390 msrc.microsoft.com
und 113 weitere Quellen in der Originalmeldung
CVE: CVE-2026-62804, CVE-2026-63523, CVE-2026-64918, CVE-2026-65812, CVE-2026-66302, CVE-2026-66303, CVE-2026-66304, CVE-2026-66305, CVE-2026-66306, CVE-2026-66307, CVE-2026-66308, CVE-2026-69268, CVE-2026-69273, CVE-2026-69282, CVE-2026-69285, CVE-2026-69402, CVE-2026-69409, CVE-2026-69417, CVE-2026-69442, CVE-2026-69464 …
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.