Microsoft Excel und Office: CERT-Bund warnt vor Codeausführung durch anonyme Angreifer — so prüfen Sie Ihre Version jetzt

Das CERT-Bund hat mit Advisory WID-SEC-2026-2625 (Risikostufe „hoch“) eine Schwachstelle in Microsoft Excel 2016, Office 2019, Office 2021, Office 2024 und Microsoft 365 Apps Enterprise gemeldet, die einem entfernten, anonymen Angreifer die Ausführung beliebigen Codes ermöglicht. Das klingt nach einem weiteren Eintrag im monatlichen Patch-Rauschen. Ist es aber nicht — denn „anonym“ bedeutet hier: kein Login, kein bestehendes Konto, kein Insider-Zugang erforderlich. Schwachstellen mit diesem Profil gehören zu den ersten, die aktiv ausgenutzt werden.

Microsoft Office ist auf nahezu jedem Windows-Arbeitsplatz im Unternehmen installiert. Das macht Schwachstellen in diesen Produkten zu einem bevorzugten Ziel: Die Angriffsfläche ist groß, die Nutzerbasis verteilt, und das Patch-Niveau in vielen Umgebungen weit von „aktuell“ entfernt.

Was genau ist betroffen?

Laut CERT-Bund sind folgende Produkte verwundbar:

• Microsoft Excel 2016
• Microsoft Office 2019
• Microsoft Office 2021
• Microsoft Office 2024
• Microsoft 365 Apps Enterprise

Die Bandbreite ist bemerkenswert. Von Excel 2016 — einer mittlerweile über zehn Jahre alten Version — bis zum aktuellen Office 2024 sind sämtliche im Unternehmensumfeld gängigen Versionsstufen betroffen. Das legt nahe, dass die Schwachstelle in einer Komponente sitzt, die Microsoft über mehrere Produktgenerationen mitgetragen hat.

Für Unternehmen bedeutet das: Der Handlungsbedarf betrifft nicht nur Umgebungen mit moderner 365-Subscription, sondern ausdrücklich auch Standalone-Installationen — die häufig weniger konsequent aktualisiert werden als die automatisch gepflegten 365-Apps.

Was „entfernter, anonymer Angreifer“ konkret bedeutet

In der CERT-Bund-Klassifikation steht „anonym“ für: kein authentifizierter Zugriff erforderlich. Das ist ein wesentlicher Unterschied zu Schwachstellen, bei denen der Angreifer ein bestehendes Konto, Insider-Zugang oder kompromittierte Credentials benötigt. Hier genügt nach Angaben des CERT-Bund die Möglichkeit, die Schwachstelle aus der Ferne auszulösen — ohne jede Vorauthentifizierung.

Welche konkreten Angriffsvektoren dabei wirksam sind, präzisiert das Advisory WID-SEC-2026-2625 im Detail. Klar ist: Gelingt die Ausführung beliebigen Codes auf dem Zielsystem, ist eine vollständige Kompromittierung des betroffenen Arbeitsplatzes realistisch — von Datenabfluss bis zur Ausweitung auf weitere Systeme im Netzwerk.

Warum dieser Patch nicht warten sollte

Codeausführungs-Schwachstellen in verbreiteter Office-Software mit anonymem Angriffsvektor haben historisch kurze Wege von der Bekanntmachung zur aktiven Ausnutzung. Die Zielplattform ist außerordentlich weit verbreitet, und Proof-of-Concept-Exploits zirkulieren in einschlägigen Kreisen erfahrungsgemäß schnell.

Aus der Betreuung von Managed-Arbeitsplatzumgebungen heraus: Der größte Risikofaktor ist selten das Fehlen des Patches in den ersten Stunden nach Veröffentlichung. Es ist der fehlende Überblick, welche Geräte überhaupt verwundbar sind. Wer kein zentrales Endpoint-Management betreibt, erfährt von betroffenen Installationen oft zu spät.

Microsoft 365 Apps Enterprise bezieht Updates im Regelfall über den Click-to-Run-Mechanismus automatisch — sofern die Update-Kanäle nicht manuell eingeschränkt wurden. Das lässt sich im Microsoft 365 Admin Center oder per Gruppenrichtlinie prüfen. Für Standalone-Versionen (Office 2019, 2021, 2024 und Excel 2016) ist ein aktives Patch-Management gefragt: Windows Update oder der Microsoft Update Catalog liefern Sicherheitsupdates, sobald Microsoft sie bereitstellt.

Was Sie jetzt prüfen sollten

Konkret in drei Schritten:

1. Inventar aufnehmen: Welche Office-Versionen laufen auf welchen Geräten? Ein Query in SCCM, Intune oder per PowerShell liefert den Überblick — auch über ältere Standalone-Installationen, die gern übersehen werden.
2. Advisory verfolgen: Unter https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2625 aktualisiert CERT-Bund den Patch-Status, sobald Microsoft Sicherheitsupdates bereitstellt.
3. Patch einspielen: Sobald verfügbar, sofortige Verteilung einplanen — nicht bis zum nächsten regulären Wartungsfenster warten.

Die Priorität hier: hoch.

—

Quellen: CERT-Bund — „WID-SEC-2026-2625: Microsoft Excel (2016), Office (2019, 2021 und 2024) und 365 Apps: Schwachstelle ermöglicht Codeausführung“ (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2625)