Sicherheitswarnung der Woche: Microsoft Office – kritisch

Dieser Artikel wurde bereits 80x gelesen...

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt Microsoft Office in seinem Warn- und Informationsdienst unter der Meldungsnummer WID-SEC-2026-4479 mit der Stufe „kritisch“ und der Kurzbeschreibung „Mehrere Schwachstellen“. Der BSI-Eintrag war beim Erstellen dieses Beitrags technisch nicht lesbar. Deshalb lassen sich aus der Meldungsseite hier weder einzelne Schwachstellen noch deren konkrete Folgen zuverlässig wiedergeben. Die Einstufung ist dennoch Anlass, den Patchstand der Office-Installationen zeitnah zu prüfen.

Wer ist betroffen?

Die BSI-Kurzmeldung nennt Microsoft Office, aber der nicht lesbare Eintrag erlaubt keine belastbare Eingrenzung auf einzelne Produkte oder Mindestversionen. Microsofts Release Notes vom 10. November 2026 führen Sicherheitsupdates für Microsoft 365 Apps, Office 2024, Office LTSC 2024, Office 2021, Office LTSC 2021 sowie Office 2019 auf. Welche davon zu WID-SEC-2026-4479 gehören und welche konkrete Office-Komponente auf einem Gerät betroffen ist, muss anhand des BSI-Eintrags beziehungsweise der Microsoft-Sicherheitsinformationen verifiziert werden. Office 2019 hat laut Microsoft seit dem 14. Oktober 2025 das Supportende erreicht; Ausnahmen für spätere Updates liegen im Ermessen des Herstellers.

Wie gefährlich ist das für eine Verwaltung?

„Kritisch“ ist die höchste Dringlichkeitsstufe dieser Warnung und sollte nicht als bloßer Hinweis auf ein irgendwann nötiges Update behandelt werden. Office-Dateien und E-Mail-Anhänge gehören zum Arbeitsalltag in Verwaltungen; ungepatchte Anwendungen vergrößern daher die Angriffsfläche. Welche Handlung ein Angreifer bei genau diesen Schwachstellen auslösen könnte oder ob eine Datei geöffnet werden muss, ist aus der zugänglichen BSI-Kurzbeschreibung nicht ersichtlich. Das ist kein Beleg für eine bereits erfolgte Ausnutzung, aber ein Grund, den Bestand unverzüglich zu inventarisieren und Updates priorisiert zu verteilen.

Was jetzt tun?

1. Ermitteln, welche Office-Ausgaben und Updatekanäle im Einsatz sind – auch auf gemeinsam genutzten Arbeitsplätzen und Terminalservern.
2. Microsoft-365-Apps über den jeweils administrierten Updatekanal aktualisieren. Microsoft nennt für den 10. November 2026 unter anderem Current Channel Version 2610, Build 20527.20196; Monthly Enterprise Channel Version 2610, Build 20527.20194; Semi-Annual Enterprise Channel Version 2610, Build 20527.20192.
3. Bei Dauerlizenzprodukten die passende Microsoft-Release-Note und das zugehörige Updatepaket verwenden. Als Beispiele nennt Microsoft für den 10. November Office LTSC 2024 Version 2408 (Build 17932.21140) und Office LTSC 2021 Version 2108 (Build 14334.21048). Diese Angaben sind Kanal-/Produktstände und dürfen nicht ohne Abgleich als Nachweis gelten, dass genau die BSI-Meldung behoben ist.
4. Installation und Versionsstand stichprobenartig kontrollieren, Geräte mit fehlgeschlagenen Updates nachverfolgen und sie bis zur Aktualisierung besonders aufmerksam überwachen.
5. Die Originalmeldung und Microsofts Sicherheitsinformationen erneut prüfen, sobald der BSI-Eintrag lesbar ist; erst daraus die konkrete Betroffenheit und erforderlichen Mindestversionen für die eigene Umgebung ableiten.

Quellen

• BSI / CERT-Bund: WID-SEC-2026-4479
• Microsoft Learn: Release notes for Microsoft Office security updates
• Microsoft Support: September 2026 updates for Microsoft Office