Microsoft Office Produkte: Mehrere Schwachstellen ermöglichen Privilegieneskalation
WID-SEC-2026-3916 · primera publicación 14.10.2026 · actualizado 16.10.2026 · CVSS 9,8
De qué se trata
Microsoft 365 Apps ist eine Office Suite für zahlreiche Büroanwendungen. Die Microsoft Office Suite beinhaltet zahlreiche Büroanwendungen wie Textverarbeitung, Tabellenkalkulation, Datenbank und weitere Applikationen. Skype ist ein Instant-Messaging-Dienst. Unterstützt werden Videokonferenzen, IP-Telefonie, Instant-Messaging, Dateiübertragung und Screen-Sharing. Microsoft Office Online Server ist ein Serverprodukt, das browserbasierte Versionen von Word, PowerPoint, Excel und OneNote bereitstellt. Microsoft Sharepoint Services ist ein Portalsystem für die zentrale Verwaltung von Dokumenten und Anwendungen. Die Inhalte werden u.a. über Webseiten zur Verfügung gestellt. Ein Angreifer kann mehrere Schwachstellen in verschiedenen Microsoft Office Produkten ausnutzen, um seine Privilegien zu erhöhen, um Code auszuführen, um Informationen offenzulegen oder zu manipulieren und um Sicherheitsmechanismen zu umgehen.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- seine Privilegien zu erhöhen
- Code auszuführen
- Informationen offenzulegen oder zu manipulieren
- Sicherheitsmechanismen zu umgehen
¿Me afecta?
Afectados según el BSI:
- Microsoft Excel
- Microsoft PowerPoint
- Microsoft Word
- Microsoft Skype for Business Server 2015 CU13
- Microsoft Office LTSC 2021
- Microsoft Office LTSC 2024
- Microsoft SharePoint Enterprise Server 2016
- Microsoft SharePoint Server 2019
- Microsoft 365 Apps
- Microsoft Office LTSC for Mac 2021
- Microsoft SharePoint Server Subscription Edition
- Microsoft Office for Android
y 5 más
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Instalar las actualizaciones del fabricante; detalles en las fuentes de abajo.
¿Se está explotando ya la vulnerabilidad?
- CVE-2026-96951: explotada en la práctica según la CISA, en el catálogo desde el 13.10.2026.
Información y fuentes
- Aviso original del BSI (WID)
- Microsoft Leitfaden für Sicherheitsupdates msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97750 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97751 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97752 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97753 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97754 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97779 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97778 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97777 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97748 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97776 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97760 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97758 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97757 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97756 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97755 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-100210 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97780 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97747 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97003 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97742 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97775 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97773 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97772 msrc.microsoft.com
- Microsoft Security Advisory CVE-2026-97771 msrc.microsoft.com
y 157 fuentes más en el aviso original
CVE: CVE-2026-100209, CVE-2026-100210, CVE-2026-100211, CVE-2026-100212, CVE-2026-102849, CVE-2026-102850, CVE-2026-102855, CVE-2026-102856, CVE-2026-102857, CVE-2026-102858, CVE-2026-102859, CVE-2026-102860, CVE-2026-102861, CVE-2026-102862, CVE-2026-102863, CVE-2026-102864, CVE-2026-102865, CVE-2026-102866, CVE-2026-102867, CVE-2026-105013 …
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.