Microsoft Office Produkte: Mehrere Schwachstellen
WID-SEC-2026-3234 · first 09.09.2026 · updated 09.09.2026 · CVSS 9,8
What it is about
Die Microsoft Office Suite beinhaltet zahlreiche Büroanwendungen wie Textverarbeitung, Tabellenkalkulation, Datenbank und weitere Applikationen. Microsoft Office Online Server ist ein Serverprodukt, das browserbasierte Versionen von Word, PowerPoint, Excel und OneNote bereitstellt. Microsoft 365 Apps ist eine Office Suite für zahlreiche Büroanwendungen. Microsoft Sharepoint Services ist ein Portalsystem für die zentrale Verwaltung von Dokumenten und Anwendungen. Die Inhalte werden u.a. über Webseiten zur Verfügung gestellt. Microsoft Teams ist ein Kollaborations-, Kommunikations- und Videokonferenz-Tool. Skype ist ein Instant-Messaging-Dienst. Unterstützt werden Videokonferenzen, IP-Telefonie, Instant-Messaging, Dateiübertragung und Screen-Sharing. Ein Angreifer kann mehrere Schwachstellen in verschiedenen Microsoft Office Produkten, Microsoft Office Online Server, Microsoft 365 Apps, Microsoft SharePoint, Microsoft Teams und Microsoft Skype ausnutzen, um erhöhte Berechtigungen zu erlangen, um Code auszuführen, um Informationen offenzulegen und um den Nutzer zu täuschen.
Under what conditions?
The BSI does not name any particular preconditions. Exploitable remotely according to the BSI.
What can happen in the worst case
An attacker could use the vulnerability to
- erhöhte Berechtigungen zu erlangen
- Code auszuführen
- Informationen offenzulegen
- den Nutzer zu täuschen
Am I affected?
Affected according to the BSI:
- Microsoft Excel 2016
- Microsoft Word 2016
- Microsoft PowerPoint 2016
- Microsoft Outlook 2016
- Microsoft Office 2016
- Microsoft Office 2019
- Microsoft Access 2016
- Microsoft Skype for Business Server 2015 CU13
- Microsoft 365 Apps
- Microsoft Office LTSC for Mac 2021
- Microsoft Office LTSC 2021
- Microsoft SharePoint Server Subscription Edition
and 8 more
The installed version is usually shown under “Help → About” or in the device’s admin interface.
What helps?
Install the updates provided by the vendor; details in the sources below.
Is the vulnerability already being exploited?
None of the CVEs is in the CISA catalogue of exploited vulnerabilities. That does not mean there are no attacks, only that none are documented.
Information and sources
- Original BSI advisory (WID)
- Microsoft Leitfaden für Sicherheitsupdates msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81951 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81947 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81948 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81949 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81950 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81954 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81956 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81953 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81960 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81958 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81392 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81393 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81394 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81395 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81396 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81397 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81398 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81399 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81400 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81401 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81957 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81959 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-85875 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-81390 msrc.microsoft.com
and 113 more sources in the original advisory
CVE: CVE-2026-62804, CVE-2026-63523, CVE-2026-64918, CVE-2026-65812, CVE-2026-66302, CVE-2026-66303, CVE-2026-66304, CVE-2026-66305, CVE-2026-66306, CVE-2026-66307, CVE-2026-66308, CVE-2026-69268, CVE-2026-69273, CVE-2026-69282, CVE-2026-69285, CVE-2026-69402, CVE-2026-69409, CVE-2026-69417, CVE-2026-69442, CVE-2026-69464 …
Source: BSI warning and information service (CERT-Bund); CISA. The assessment of the conditions is my reading of the BSI text; the external pages are in their original language.