BSI warnt vor kritischen Microsoft Office Schwachstellen

Der Warn- und Informationsdienst (WID) des BSI hat am 15.10.2026 eine als „kritisch" eingestufte Update-Meldung zu Microsoft Office Schwachstellen veröffentlicht. Betroffen sind laut Meldung mehrere Microsoft-Office-Produkte; ein Angreifer soll damit Privilegien erhöhen, Code ausführen, Informationen offenlegen oder manipulieren und Sicherheitsmechanismen umgehen können. Das ist die vollständige belegbare Faktenlage zur Meldung WID-SEC-2026-3916 — CVE-Nummern, betroffene Versionen und Angriffsvoraussetzungen fehlen bislang.

Der Volltext des Advisories war beim Rechercheabruf nicht zugänglich. Der Advisory-Eintrag WID-SEC-2026-3916 lieferte lediglich den Seitentitel „Warn- und Informationsdienst", kein Inhalt. Wer den Artikel bis hierher liest, kennt damit bereits den Kern des Problems: Eine kritische Warnung steht im Raum, aber die Details, die für eine Betroffenheitsprüfung nötig wären, sind es nicht.

Was die BSI-Warnung zu Microsoft Office Schwachstellen belegt

Sicher ist zunächst: Das BSI stuft die Meldung als kritisch ein. Das ergibt sich aus der Titelzeile des RSS-Eintrags; eine inhaltliche Begründung dieser Einstufung ist nicht abrufbar. Belegt sind außerdem die vier genannten Auswirkungsklassen — Privilegieneskalation, Codeausführung, Offenlegung oder Manipulation von Informationen sowie das Umgehen von Sicherheitsmechanismen. Das ist eine breite Beschreibung, die auf mehrere Einzel-Schwachstellen hindeutet, aber keine einzelne davon benennt.

Der Meldeweg ist dokumentiert: Der WID richtet sich nach Angaben des BSI vor allem an die Bundesverwaltung, ist per E-Mail abonnierbar und öffentlich per RSS zugänglich, wie die Übersichtsseite zu den Technischen Sicherheitshinweisen zeigt. Auffällig: In der dort gerenderten Liste der am 15.10.2026 veröffentlichten Meldungen taucht der Office-Eintrag nicht auf. Ob das an der Darstellung, einer Verzögerung oder an Rollen- und Abo-Trennungen liegt, lässt sich nicht klären.

Welche Angriffsszenarien im Raum stehen — und was offen bleibt

Aus der Meldung geht nicht hervor, ob die Schwachstellen lokal oder remote ausnutzbar sind, ob eine Anmeldung nötig ist und ob Nutzerinteraktion erforderlich wäre. Diese Lücken sind relevant, weil sie den Unterschied zwischen „Patch zeitnah einplanen" und „sofort handeln" ausmachen. Auch eine Zuordnung zu einzelnen CVEs ist nicht möglich. Es ist ausdrücklich nicht belegt, ob die weiter unten genannten CVE-Nummern überhaupt Gegenstand dieser BSI-Meldung sind — sie stammen aus anderen Update-Zyklen und dienen hier ausschließlich als technische Einordnung.

Dass der Charakter der Meldung als „Update" ausgewiesen ist, deutet darauf hin, dass eine bestehende Warnung aktualisiert wurde. Was konkret aktualisiert wurde — neue CVEs, erweiterte Produktliste oder geänderter Patchstatus — ist aus den vorliegenden Quellen nicht rekonstruierbar.

Einordnung: Das Muster hinter Office-Privilegieneskalation

Ein Blick auf vergleichbare Fälle zeigt, wie solche Lücken typischerweise aussehen. Die SentinelOne-Schwachstellendatenbank zu CVE-2026-47293 beschreibt eine Office-Privilegieneskalation als Use-after-free (CWE-416) in Microsoft Office Click-To-Run mit einem CVSS-3.1-Base-Score von 7.0. Bemerkenswert sind die Rahmenbedingungen: lokaler Zugriff mit niedrigen Rechten, hohe Angriffskomplexität, kein öffentlicher Exploit, nicht in der CISA-Liste aktiv ausgenutzter Schwachstellen. Für das Monitoring empfiehlt die Quelle unter anderem die Beobachtung der OfficeClickToRun.exe sowie bestimmter Sysmon-Events.

Das ist kein Beleg für die aktuelle BSI-Meldung, aber ein Hinweis darauf, wo das technische Risiko bei Office-Eskalationen häufig liegt: Es sind keine Fernangriffe aus dem Nichts, sondern Lücken, die bereits einen Fuß im System voraussetzen. Genau diese Voraussetzung nennt die BSI-Meldung nicht — und lässt damit die entscheidende Frage offen, wie realistisch ein Angriff ohne Vorschädigung ist.

Kontext Oktober-Patchday: 1.415 neue Microsoft-CVEs

Die Zero Day Initiative verzeichnet für den Oktober-Patchday 2026 insgesamt 1.415 neue Microsoft-CVEs — ein Rekordwert und die erste vierstellige Größenordnung. Unter den betroffenen Produkten nennt die Übersicht ausdrücklich „Office and Office Components". Konkret aufgeführt sind etwa CVE-2026-102866 (Office SharePoint Elevation of Privilege, Critical, Score 8.1) sowie CVE-2026-102855 und CVE-2026-102856 (Office Visio RCE, Critical, 8.8). Im Oktober sei zudem nur ein einziger aktiv ausgenutzter Microsoft-Bug verzeichnet, ohne klare Office-Verknüpfung. Neu ist laut Bericht die Microsoft-Kategorisierung „risk cohorts".

Wichtig zur Abgrenzung: Diese CVEs gehören nicht zur BSI-Meldung. Sie zeigen lediglich, in welch dichtem Umfeld die Warnung steht — wer im Oktober patcht, hat es mit einer ungewöhnlich großen Zahl an Fixes zu tun.

Dass Office-Bypässe längst nicht nur theoretisch sind, belegt der NSFOCUS-Bericht zum Februar-Update 2026. Dort sind 59 Schwachstellen gelistet, darunter CVE-2026-21514 — ein Word Security Feature Bypass mit CVSS 7.8, der bereits aktiv ausgenutzt wurde.

Fazit: Patch-Disziplin statt Panik

Ohne Versionsangaben lässt sich keine konkrete Prüfanleitung geben. Der pragmatische Weg bleibt derselbe: Office- und Windows-Updates zeitnah einspielen, den Advisory-Eintrag im Blick behalten und die Aktualisierung abwarten, die die fehlenden Details nachliefert. Wer den WID abonniert hat, bekommt diese Information direkt. Das restliche Patch-Management in diesem Monat ist ohnehin gut ausgelastet — bei 1.415 neuen Microsoft-CVEs zählt weniger die einzelne Schlagzeile als die Routine, mit der Fixes eingeplant und ausgerollt werden.

Quellen