What it is about

Die Microsoft Office Suite beinhaltet zahlreiche Büroanwendungen wie Textverarbeitung, Tabellenkalkulation, Datenbank und weitere Applikationen. Microsoft Office Online Server ist ein Serverprodukt, das browserbasierte Versionen von Word, PowerPoint, Excel und OneNote bereitstellt. Microsoft Sharepoint ist ein Portalsystem für die zentrale Verwaltung von Dokumenten und Anwendungen. Die Inhalte werden u. a. über Webseiten zur Verfügung gestellt. Microsoft 365 Apps ist eine Office Suite für zahlreiche Büroanwendungen. Ein Angreifer kann mehrere Schwachstellen in verschiedenen Microsoft Office Produkten und Sharepoint ausnutzen, um beliebigen Programmcode auszuführen, um Informationen offenzulegen, um falsche Informationen darzustellen, und um Sicherheitsvorkehrungen zu umgehen.

Under what conditions?

The BSI does not name any particular preconditions. Exploitable remotely according to the BSI.

What can happen in the worst case

An attacker could use the vulnerability to

• beliebigen Programmcode auszuführen
• Informationen offenzulegen
• falsche Informationen darzustellen
• Sicherheitsvorkehrungen zu umgehen

Am I affected?

Affected according to the BSI:

• Microsoft Office Deployment Tool
• Microsoft Excel 2016
• Microsoft Word 2016
• Microsoft Office 2016
• Microsoft Office Online Server
• Microsoft SharePoint Enterprise Server 2016
• Microsoft Office 2019
• Microsoft SharePoint Server 2019
• Microsoft 365 Apps
• Microsoft Office LTSC for Mac 2021
• Microsoft Office LTSC 2021
• Microsoft SharePoint Server Subscription Edition

and 2 more

The installed version is usually shown under “Help → About” or in the device’s admin interface.

What helps?

Install the updates provided by the vendor; details in the sources below.

Is the vulnerability already being exploited?

• CVE-2026-20963: exploited in the wild according to CISA, in the catalogue since 18.03.2026.